Takk for tilbakemeldingen.

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Hvis kortet er deaktivert eller du ikke ser det, kontakter du kontoteamet ditt eller partnerorganisasjonen din. Gi dem kontonummeret ditt, og be om å aktivere organisasjonen din for Hybrid Data Security. Hvis du vil finne kontonummeret, klikker du på tannhjulet øverst til høyre, ved siden av organisasjonsnavnet.

Du kan også laste ned OVA når som helst fra Hjelp delen om Innstillinger side. På Hybrid Data Security-kortet klikker du på Rediger innstillinger for å åpne siden. Deretter klikker du Last ned programvare for hybrid datasikkerhet i Hjelp delen.

Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene av Hybrid Data Security. Dette kan føre til problemer under oppgradering av applikasjonen. Pass på at du laster ned den nyeste versjonen av OVA-filen.

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administrator for organisasjonen.

Hvis installasjonsverktøyet for HDS kjører bak en proxy i miljøet, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariabler når du henter frem Docker-beholderen i trinn 5 . Denne tabellen viser noen mulige miljøvariabler:

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Control Hub-kundeadministratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Når du laster opp rotsertifikat (om nødvendig), og klikker Fortsett tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserver. Verktøyet bekrefter også sertifikatunderskriveren og vertsnavnet, hvis det er aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan det hende at HDS-nodene kan opprette TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.)

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Oppbevar sikkerhetskopien på en sikker måte. Denne filen inneholder en krypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg et navn og en mappe side, skriver du inn en Navn på virtuell maskin for noden (for eksempel «HDS_ Node_ 1"), velg et sted der nodedistribusjonen for den virtuell maskin kan ligge, og klikk deretter Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillinger og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Bruk denne fremgangsmåten til å logge på VM-konsollen for Hybrid Data Security-noden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Siden ISO-filen inneholder hovednøkkelen, bør den bare vises på en «trenger å vite»-basis, for tilgang for de virtuelle hybriddatasikkerhets-ene og alle administratorer som måtte trenge å gjøre endringer. Kontroller at bare disse administratorene har tilgang til datalageret.

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Hvis IT-retningslinjene krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har registrert konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

Konfigurere HDS-noden for proxy-integrasjon

Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybriddatasikkerhet. Hvis du velger en gjennomsiktig inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Hvis du vil legge til flere noder i klyngen, oppretter du ganske enkelt flere virtuelle datamaskiner og monterer den samme ISO-konfigurasjonsfilen, og deretter registrerer du noden. Vi anbefaler at du har minst 3 noder.

På dette tidspunktet er de virtuelle sikkerhetskopiene-ene du opprettet i Fullfør forutsetningene for hybrid datasikkerhet er standby-verter som bare brukes i tilfelle katastrofegjenoppretting; de er ikke registrert i systemet før da. Hvis du vil ha mer informasjon, se Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Når du har konfigurert en Hybrid Data Security-klynge, kan du starte en pilot, legge til brukere i den og begynne å bruke den til testing og bekreftelse av distribusjonen som forberedelse til overgang til produksjon.

Før du starter

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du starter

Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge HdsTrialGroup gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon for organisasjonen. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup`.)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du starter

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=retrieve og kms.data.type=KEY:

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=KEY_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om opprettelse av et nytt KMS-ressursobjekt (KRO) når et område eller en annen beskyttet ressurs opprettes, filtrerer du på kms.data.method=create og kms.data.type=RESOURCE_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

En statusindikator i Control Hub viser deg om alt er bra med Hybrid Data Security-distribusjonen. Registrer deg for e-postvarsler for mer proaktiv varsling. Du blir varslet når det er tjenestepåvirkende alarmer eller programvareoppgraderinger.

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

Hvis du fjerner en bruker fra prøveversjonen, vil brukerens klient be om å opprette nøkler og nøkler fra KMS-skyen i stedet for KMS-en din. Hvis klienten trenger en nøkkel som er lagret på KMS-en, vil KMS-en i skyen hente den på brukerens vegne.

Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory (i stedet for denne prosedyren) til å administrere prøvegruppen, HdsTrialGroup; du kan vise gruppemedlemmene i Control Hub, men kan ikke legge til eller fjerne dem.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre.

Gå fra prøveversjon til produksjon

Når du er fornøyd med at distribusjonen fungerer bra for prøveversjonsbrukerne, kan du gå over til produksjon. Når du går over til produksjon, vil alle brukere i organisasjonen bruke det lokale Hybrid Data Security-domenet for krypteringsnøkler og andre sikkerhetstjenester. Du kan ikke gå tilbake til prøvemodus fra produksjon med mindre du deaktiverer tjenesten som en del av katastrofegjenoppretting. Reaktivering av tjenesten krever at du konfigurerer en ny prøveversjon.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

Hvis du i løpet av prøveperioden bestemmer deg for ikke å fortsette med distribusjonen av Hybrid Data Security, kan du deaktivere Hybrid Data Security, som avslutter prøveversjonen og flytter prøveversjonsbrukerne tilbake til skydatasikkerhetstjenestene. Prøveversjonsbrukerne mister tilgangen til dataene som ble kryptert under prøveversjonen.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Programvareoppgraderinger for Hybrid Data Security gjøres automatisk på klyngenivå, noe som sikrer at alle noder alltid kjører den samme programvareversjon. Oppgraderinger utføres i henhold til oppgraderingsplanen for klyngen. Når en programvareoppgradering blir tilgjengelig, har du muligheten til å oppgradere klyngen manuelt før planlagt oppgraderingstid. Du kan angi en bestemt oppgraderingsplan eller bruke standardplanen for 03:00 daglig USA: Amerika/Los Angeles. Du kan også velge å utsette en kommende oppgradering om nødvendig.

Slik angir du oppgraderingsplanen:

1	Logg på Kontrollhub .
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen for Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Av sikkerhetsmessige årsaker bruker Hybriddata-sikkerhet passord som har en levetid på ni måneder på tjenestekontoer. HDS-installasjonsverktøyet genererer disse passordene, og du distribuerer dem til hver av HDS-nodene dine som en del av ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløp, mottar du et «Varsel om utløp av passord» fra Webex-teamet, der du blir bedt om å tilbakestille passordet for maskinkontoen. (E-posten inneholder teksten «Bruk maskinkontoens API til å oppdatere passordet.») Hvis passordene ikke er utløpt ennå, gir verktøyet deg to alternativer:

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du starter

Hvis installasjonsverktøyet for HDS kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du henter opp Docker-beholderen i 1.e . Denne tabellen viser noen mulige miljøvariabler:

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker login -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Sørg for at du bruker det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet som er opprettet før 22. februar 2018, har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til localhost, http://127.0.0.1:8080.

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingslegitimasjonen til kunden i Cisco Webex Control Hub, og klikker på Godta for å fortsette.
Importer ISO-filen for gjeldende konfigurasjon.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.
Opprett en sikkerhetskopi av den oppdaterte ISO-filen i et annet datasenter.

Hvis du kun kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den via den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, se Opprett og registrer flere noder .

Installer HDS-verten OVA.
Konfigurer HDS VM.
Monter den oppdaterte konfigurasjonsfilen.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuelle maskinen.
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk CD/DVD Drive 1 Klikk på CD/DVD-stasjon 1, velg alternativet for montering fra en ISO-fil, og bla til plasseringen der du lastet ned den nye ISO-konfigurasjonsfilen.
Kontroller Koble til ved strøm på.
Lagre endringene og slå på den virtuelle maskinen.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Deaktiver blokkert ekstern DNS-oppløsningsmodus

Når du registrerer en node eller kontrollerer nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modusen blokkert ekstern DNS-oppløsning.

Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du starter

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/-oppsett, for eksempel https://192.0.2.0/setup),angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter på Logg på.
2	Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja.
3	Gå til siden Klareringslager og proxy.
4	Klikk på Kontroller proxy-tilkobling. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til Oversikt-siden, bør Blokkert ekstern DNS-oppløsning settes til Nei.

Hva nå?

Gjenta proxy-tilkoblingstesten for hver node i klyngen for hybriddatasikkerhet.

Fjerne en node

Bruk denne fremgangsmåten til å fjerne en hybrid datasikkerhetsnode fra Webex-skyen. Når du har fjernet noden fra klyngen, sletter du den virtuell maskin for å forhindre ytterligere tilgang til sikkerhetsdataene dine.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Den mest kritiske tjenesten Hybrid Data Security-klyngen tilbyr, er opprettelse og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om å opprette nøkkel til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.

Siden klyngen utfører den kritiske funksjonen med å oppgi disse nøklene, er det viktig at klyngen fortsetter å kjøre og at forsvarlige sikkerhetskopier opprettholdes. Tap av Hybrid Data Security-databasen eller av ISO-konfigurasjonen som ble brukt for skjemaet, vil føre til TAP av kundeinnhold som ikke kan gjenopprettes. Følgende fremgangsmåter er obligatoriske for å forhindre slikt tap:

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passiveMode konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.


passiveMode: 'false'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva nå?

Hvis det primære datasenter blir aktivt igjen etter failover, setter du datasenter i passiv modus på nytt ved å følge trinnene beskrevet i Konfigurere datasenter i ventemodus for katastrofegjenoppretting .

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Standard HDS-konfigurasjonen kjører med ISO-en montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-noder har plukket opp den nye konfigurasjonen.

Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en på nytt med denne prosedyren.

Før du starter

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

En Hybrid Data Security-distribusjon anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller hvis klyngen fungerer så sakte at forespørslene tidsavbrudd. Hvis brukere ikke kan nå Hybrid Data Security-klyngen, opplever de følgende symptomer:

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Hvis det er et problem med oppsettet av Hybrid Data Security, viser Control Hub varsler til administrator og sender e-postmeldinger til den konfigurerte e-postadresse. Varslene dekker mange vanlige scenarier.

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Feil ved tilgang til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du starter

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem`.
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -in hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem`. Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Opprett .p12-filen med det vennlige navnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -in hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-private-key`. Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Hva nå?

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Hybriddatasikkerhetsnodene sender bestemte beregninger til Webex-skyen. Disse inkluderer systemmålinger for maks. haug, brukt haug, CPU-belastning og antall tråder. målinger for synkrone og asynkrone tråder; målinger for varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller en forespørselskølengde; målinger på datalageret; og måleverdier for krypteringstilkobling. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid-proxy

Squid-proxyer som inspiserer HTTPS-trafikk, kan forstyrre etableringen av websocket ( wss:)-tilkoblinger som Hybrid Data Security krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.

Squid 4 og 5

Legg til on_unsupported_protocol direktiv til squid.conf:

on_unsupported_protocol tunnel all

Squid 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurere HDS-noden for proxy-integrasjon
Deaktiver blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurere HDS-noden for proxy-integrasjon

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere, og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du starter

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger


passiveMode: 'true'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva nå?

Proxy-støtte

Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:

Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjon er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsplan som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon for hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
  - HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og godkjenner serverens sertifikat.
4. Godkjenningstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere godkjenning er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.
  - Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.

Eksempel på noder og proxy for hybriddatasikkerhet

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com`. CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-private-key` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Applikasjon	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Nord- og Sør-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – Squid.

Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
- Ingen godkjenning med HTTP eller HTTPS
- Enkel godkjenning med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du starter

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Konfigurere HDS-noden for proxy-integrasjon

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du starter

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du starter

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup`.)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du starter

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=retrieve og kms.data.type=KEY:

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=KEY_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre.

Gå fra prøveversjon til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Slik angir du oppgraderingsplanen:

1	Logg på Kontrollhub .
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen for Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker login -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Sørg for at du bruker det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet som er opprettet før 22. februar 2018, har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til localhost, http://127.0.0.1:8080.

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingslegitimasjonen til kunden i Cisco Webex Control Hub, og klikker på Godta for å fortsette.
Importer ISO-filen for gjeldende konfigurasjon.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.
Opprett en sikkerhetskopi av den oppdaterte ISO-filen i et annet datasenter.

Installer HDS-verten OVA.
Konfigurer HDS VM.
Monter den oppdaterte konfigurasjonsfilen.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuelle maskinen.
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk CD/DVD Drive 1 Klikk på CD/DVD-stasjon 1, velg alternativet for montering fra en ISO-fil, og bla til plasseringen der du lastet ned den nye ISO-konfigurasjonsfilen.
Kontroller Koble til ved strøm på.
Lagre endringene og slå på den virtuelle maskinen.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Deaktiver blokkert ekstern DNS-oppløsningsmodus

Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du starter

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/-oppsett, for eksempel https://192.0.2.0/setup),angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter på Logg på.
2	Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja.
3	Gå til siden Klareringslager og proxy.
4	Klikk på Kontroller proxy-tilkobling. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til Oversikt-siden, bør Blokkert ekstern DNS-oppløsning settes til Nei.

Hva nå?

Gjenta proxy-tilkoblingstesten for hver node i klyngen for hybriddatasikkerhet.

Fjerne en node

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passiveMode konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.


passiveMode: 'false'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva nå?

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Før du starter

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Feil ved tilgang til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du starter

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem`.
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -in hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem`. Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Opprett .p12-filen med det vennlige navnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -in hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-private-key`. Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Hva nå?

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid-proxy

Squid 4 og 5

Legg til on_unsupported_protocol direktiv til squid.conf:

on_unsupported_protocol tunnel all

Squid 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurere HDS-noden for proxy-integrasjon
Deaktiver blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurere HDS-noden for proxy-integrasjon

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere, og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du starter

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger


passiveMode: 'true'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva nå?

Proxy-støtte

Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:

Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjon er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsplan som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon for hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
  - HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og godkjenner serverens sertifikat.
4. Godkjenningstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere godkjenning er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.
  - Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.

Eksempel på noder og proxy for hybriddatasikkerhet

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com`. CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-private-key` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Applikasjon	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Nord- og Sør-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – Squid.

Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
- Ingen godkjenning med HTTP eller HTTPS
- Enkel godkjenning med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du starter

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Konfigurere HDS-noden for proxy-integrasjon

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du starter

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du starter

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup`.)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du starter

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=retrieve og kms.data.type=KEY:

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=KEY_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre.

Gå fra prøveversjon til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Slik angir du oppgraderingsplanen:

1	Logg på Kontrollhub .
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen for Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker login -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Sørg for at du bruker det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet som er opprettet før 22. februar 2018, har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til localhost, http://127.0.0.1:8080.

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingslegitimasjonen til kunden i Cisco Webex Control Hub, og klikker på Godta for å fortsette.
Importer ISO-filen for gjeldende konfigurasjon.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.
Opprett en sikkerhetskopi av den oppdaterte ISO-filen i et annet datasenter.

Installer HDS-verten OVA.
Konfigurer HDS VM.
Monter den oppdaterte konfigurasjonsfilen.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuelle maskinen.
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk CD/DVD Drive 1 Klikk på CD/DVD-stasjon 1, velg alternativet for montering fra en ISO-fil, og bla til plasseringen der du lastet ned den nye ISO-konfigurasjonsfilen.
Kontroller Koble til ved strøm på.
Lagre endringene og slå på den virtuelle maskinen.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Deaktiver blokkert ekstern DNS-oppløsningsmodus

Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du starter

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/-oppsett, for eksempel https://192.0.2.0/setup),angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter på Logg på.
2	Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja.
3	Gå til siden Klareringslager og proxy.
4	Klikk på Kontroller proxy-tilkobling. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til Oversikt-siden, bør Blokkert ekstern DNS-oppløsning settes til Nei.

Hva nå?

Gjenta proxy-tilkoblingstesten for hver node i klyngen for hybriddatasikkerhet.

Fjerne en node

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passiveMode konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.


passiveMode: 'false'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva nå?

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Før du starter

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Feil ved tilgang til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du starter

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem`.
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -in hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem`. Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Opprett .p12-filen med det vennlige navnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -in hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-private-key`. Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Hva nå?

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid-proxy

Squid 4 og 5

Legg til on_unsupported_protocol direktiv til squid.conf:

on_unsupported_protocol tunnel all

Squid 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurere HDS-noden for proxy-integrasjon
Deaktiver blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurere HDS-noden for proxy-integrasjon

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere, og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du starter

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger


passiveMode: 'true'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva nå?

Proxy-støtte

Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:

Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjon er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsplan som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon for hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
  - HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og godkjenner serverens sertifikat.
4. Godkjenningstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere godkjenning er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.
  - Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.

Eksempel på noder og proxy for hybriddatasikkerhet

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com`. CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-private-key` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Applikasjon	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Nord- og Sør-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – Squid.

Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
- Ingen godkjenning med HTTP eller HTTPS
- Enkel godkjenning med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du starter

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Konfigurere HDS-noden for proxy-integrasjon

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du starter

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du starter

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup`.)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du starter

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=retrieve og kms.data.type=KEY:

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=KEY_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre.

Gå fra prøveversjon til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Slik angir du oppgraderingsplanen:

1	Logg på Kontrollhub .
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen for Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker login -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Sørg for at du bruker det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet som er opprettet før 22. februar 2018, har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til localhost, http://127.0.0.1:8080.

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingslegitimasjonen til kunden i Cisco Webex Control Hub, og klikker på Godta for å fortsette.
Importer ISO-filen for gjeldende konfigurasjon.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.
Opprett en sikkerhetskopi av den oppdaterte ISO-filen i et annet datasenter.

Installer HDS-verten OVA.
Konfigurer HDS VM.
Monter den oppdaterte konfigurasjonsfilen.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuelle maskinen.
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk CD/DVD Drive 1 Klikk på CD/DVD-stasjon 1, velg alternativet for montering fra en ISO-fil, og bla til plasseringen der du lastet ned den nye ISO-konfigurasjonsfilen.
Kontroller Koble til ved strøm på.
Lagre endringene og slå på den virtuelle maskinen.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Deaktiver blokkert ekstern DNS-oppløsningsmodus

Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du starter

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/-oppsett, for eksempel https://192.0.2.0/setup),angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter på Logg på.
2	Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja.
3	Gå til siden Klareringslager og proxy.
4	Klikk på Kontroller proxy-tilkobling. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til Oversikt-siden, bør Blokkert ekstern DNS-oppløsning settes til Nei.

Hva nå?

Gjenta proxy-tilkoblingstesten for hver node i klyngen for hybriddatasikkerhet.

Fjerne en node

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passiveMode konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.


passiveMode: 'false'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva nå?

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Før du starter

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Feil ved tilgang til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du starter

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem`.
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -in hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem`. Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Opprett .p12-filen med det vennlige navnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -in hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-private-key`. Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Hva nå?

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid-proxy

Squid 4 og 5

Legg til on_unsupported_protocol direktiv til squid.conf:

on_unsupported_protocol tunnel all

Squid 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurere HDS-noden for proxy-integrasjon
Deaktiver blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurere HDS-noden for proxy-integrasjon

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere, og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du starter

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger


passiveMode: 'true'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva nå?

Proxy-støtte

Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:

Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjon er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsplan som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon for hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
  - HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og godkjenner serverens sertifikat.
4. Godkjenningstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere godkjenning er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.
  - Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.

Eksempel på noder og proxy for hybriddatasikkerhet

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com`. CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-private-key` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Applikasjon	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Nord- og Sør-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – Squid.

Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
- Ingen godkjenning med HTTP eller HTTPS
- Enkel godkjenning med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du starter

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Konfigurere HDS-noden for proxy-integrasjon

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du starter

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du starter

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup`.)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du starter

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=retrieve og kms.data.type=KEY:

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=KEY_COLLECTION:

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre.

Gå fra prøveversjon til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Slik angir du oppgraderingsplanen:

1	Logg på Kontrollhub .
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen for Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker login -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Sørg for at du bruker det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet som er opprettet før 22. februar 2018, har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til localhost, http://127.0.0.1:8080.

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingslegitimasjonen til kunden i Cisco Webex Control Hub, og klikker på Godta for å fortsette.
Importer ISO-filen for gjeldende konfigurasjon.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.
Opprett en sikkerhetskopi av den oppdaterte ISO-filen i et annet datasenter.

Installer HDS-verten OVA.
Konfigurer HDS VM.
Monter den oppdaterte konfigurasjonsfilen.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuelle maskinen.
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk CD/DVD Drive 1 Klikk på CD/DVD-stasjon 1, velg alternativet for montering fra en ISO-fil, og bla til plasseringen der du lastet ned den nye ISO-konfigurasjonsfilen.
Kontroller Koble til ved strøm på.
Lagre endringene og slå på den virtuelle maskinen.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Deaktiver blokkert ekstern DNS-oppløsningsmodus

Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du starter

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/-oppsett, for eksempel https://192.0.2.0/setup),angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter på Logg på.
2	Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja.
3	Gå til siden Klareringslager og proxy.
4	Klikk på Kontroller proxy-tilkobling. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til Oversikt-siden, bør Blokkert ekstern DNS-oppløsning settes til Nei.

Hva nå?

Gjenta proxy-tilkoblingstesten for hver node i klyngen for hybriddatasikkerhet.

Fjerne en node

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passiveMode konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.


passiveMode: 'false'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva nå?

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Før du starter

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Feil ved tilgang til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du starter

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem`.
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -in hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem`. Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Opprett .p12-filen med det vennlige navnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -in hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-private-key`. Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Hva nå?

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid-proxy

Squid 4 og 5

Legg til on_unsupported_protocol direktiv til squid.conf:

on_unsupported_protocol tunnel all

Squid 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurer HDS-noden for proxy-integrering
Slå av blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurer HDS-noden for proxy-integrering

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere, og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

Støtte for Microsoft SQL Server er kun beregnet på nye distribusjoner av Hybrid Data Security. Vi støtter for øyeblikket ikke overføring av data fra PostgreSQL til Microsoft SQL Server i en eksisterende distribusjon.

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-kryptering av innhold, aktivert av Webex App-klienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografenøklene som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.

Som standard får alle Webex App-kunder ende-til-ende-kryptering med dynamiske nøkler lagret i KMS-skyen, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til foretningsdata , slik at ingen andre enn du sitter på nøklene til det krypterte innholdet.

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

Før failover har Datasenter A aktive HDS-noder og den primære PostgreSQL- eller Microsoft SQL Server-databasen, mens B har en kopi av ISO-filen med tilleggskonfigurasjoner, virtuelle datamaskiner som er registrert i organisasjonen, og en ventedatabase. Etter failover har Data Center B aktive HDS-noder og primærdatabasen, mens A har uregistrerte virtuelle maskiner og en kopi av ISO-filen, og databasen er i ventemodus. — ***Manuell failover til datasenter i ventemodus***

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du begynner

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

 passivMode: «true»

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva du skal gjøre videre

Etter konfigurering passivmodus i ISO-filen og lagrer den, kan du opprette en annen kopi av ISO-filen uten passivmodus konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passivmodus konfigurert kan hjelpe i en rask failover-prosess under katastrofegjenoppretting. Se Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus for den detaljerte failover-prosedyren.

Proxy-støtte

Hybrid Data Security støtter eksplisitte, gjennomsiktige proxyer for inspeksjon og ikke-inspeksjon. Du kan knytte disse proxyene til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatbehandling og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.

Hybrid Data Security-nodene støtter følgende proxy-alternativer:

Ingen proxy – Standarden hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig proxy som ikke inspiserer – Nodene er ikke konfigurert til å bruke en bestemt proxy-server og skal ikke kreve endringer for å fungere med en ikke-inspeksjonsfull proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunneling eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-server . Ingen HTTP- eller HTTPS-konfigurasjonsendringer er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjonsfullmakter brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne proxytypen dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsordning som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Velg mellom følgende protokoller, avhengig av hva proxy-server støtter:
  - HTTP – viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
4. autentiseringstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere autentisering er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent for å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord på hver node.
  - Sammendrag –Brukes til å bekrefte kontoen før sending av sensitiv informasjon. Bruker en hash-funksjon på brukernavn og passord før sending over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord på hver node.

Eksempel på hybridnoder og proxy for datasikkerhet

Dette diagrammet viser et eksempel på en tilkobling mellom hybrid datasikkerhet, nettverk og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjonskontroll må det samme rotsertifikat installeres på proxyen og på Hybrid Data Security-nodene.

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Når du registrerer en node eller kontrollerer nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, hvis noden ikke kan spørre DNS-serverne, går den automatisk over i modus for blokkert ekstern DNS-oppløsning. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Før du installerer HDS-nodene, må du ha Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig lisensieringsmodellen. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. Hvis du vil ha mer informasjon, se Docker-blogginnlegget, " Docker oppdaterer og utvider produktabonnementene våre «.

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com` . CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-privat-nøkkel` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Søknad	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med Hybrid Data Security-nodene dine.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – blekksprut.

Squid-proxyer som inspiserer HTTPS-trafikk, kan forstyrre etableringen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurer Squid-proxyer for hybrid datasikkerhet .

Vi støtter følgende kombinasjoner av godkjenningstype for eksplisitte proxyer:
- Ingen autentisering med HTTP eller HTTPS
- Grunnleggende autentisering med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslager for Hybrid Data Security-nodene.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre nettsocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Velg et domenenavn for HDS-distribusjonen (for eksempel hds.company.com ) og få en sertifikatkjede som inneholder et X.509-sertifikat, privat nøkkel og eventuelle mellomsertifikater. sertifikatkjede må oppfylle kravene i Krav til X.509-sertifikater .

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Hvis organisasjonen din bruker katalogsynkronisering, oppretter du en gruppe i Active Directory som heter HdsTrialGroup , og legg til pilotbrukere. Prøvegruppen kan ha opptil 250 brukere. Den HdsTrialGroup objektet må synkroniseres til skyen før du kan starte en prøveversjon for organisasjonen. Hvis du vil synkronisere et gruppeobjekt, velger du det i katalogkoblingen Konfigurasjon > Objektvalg -menyen. (For detaljerte instruksjoner se Distribusjonsveiledning for Cisco Directory Connector. )

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du begynner

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer HDS-noden for proxy-integrering

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du begynner

HDS-installasjonsverktøyet kjøres som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administrator for organisasjonen.

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_ AGENT_ HTTP_ PROXY=http://BRUKERNAVN:PASSORD@SERVER_ IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_ AGENT_ HTTPS_ PROXY=http://BRUKERNAVN:PASSORD@SERVER_ IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker-pålogging -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten,http://127.0.0.1:8080 , og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet brukernavn@DOMENE i Brukernavn felt.
Angi databaseserver i skjemaet : eller : .

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514 .
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett .

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxStørrelse: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte installasjonsverktøyet, skriver du CTRL+C .

Hva du skal gjøre videre

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du begynner

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger .
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk på CD/DVD-stasjon 1 , velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva du skal gjøre videre

Konfigurer HDS-noden for proxy-integrering

Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med Hybrid Data Security. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikat. Du kan også kontrollere proxy-tilkoblingen fra grensesnittet og feilsøke potensielle problemer.

Før du begynner

Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP eller FQDN]/oppsett` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Trust Store og proxy , og velg deretter et alternativ: Ingen proxy – standardvalg før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig proxy som ikke inspiserer – Nodene er ikke konfigurert til å bruke en bestemt proxy-server og skal ikke kreve endringer for å fungere med en ikke-inspeksjonsfull proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-server . Ingen HTTPS-konfigurasjonsendringer er nødvendige for hybrid datasikkerhetsdistribusjon, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjonsfullmakter brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne proxytypen dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-server støtter. autentiseringstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere autentisering er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent for å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også angi brukernavn og passord. Sammendrag –Brukes til å bekrefte kontoen før sending av sensitiv informasjon. Bruker en hash-funksjon på brukernavn og passord før sending over nettverket. Kun tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også angi brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat , og gå deretter til et velg rotsertifikat for proxyen. Sertifikatet er lastet opp, men ikke installert ennå fordi du må starte noden på nytt for å installere sertifikatet. Klikk på markeringspilen ved sertifikatutstederens navn for å få mer informasjon, eller klikk Slett hvis du gjorde en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkobling mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-server. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Når tilkoblingstesten er bestått, for eksplisitt proxy satt til bare https, slår du bryteren på til Rut alle https-forespørsler fra port 443/444 fra denne noden gjennom den eksplisitte proxyen . Det tar 15 sekunder før denne innstillingen trer i kraft.
6	Klikk på Installer alle sertifikater i Trust Store (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter Installer hvis du er klar. Noden starter på nytt innen noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og åpner deretter Oversikt for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene til webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsveiledningen, blokkeres på proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du begynner

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg påhttps://admin.webex.com .
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du begynner

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva du skal gjøre videre

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du begynner

1	Hvis det er aktuelt, synkroniserer du `HdsTrialGroup` gruppeobjekt. Hvis organisasjonen din bruker katalogsynkronisering for brukere, må du velge `HdsTrialGroup` gruppeobjekt for synkronisering til skyen før du kan starte en prøveversjon. Hvis du vil ha instruksjoner, se Distribusjonsveiledning for Cisco Directory Connector.
2	Aktiver prøveversjon Start en prøveversjon. Frem til du gjør denne oppgaven, genererer nodene en alarm som indikerer at tjenesten ennå ikke er aktivert.
3	Test hybriddistribusjonen av datasikkerhet Kontroller at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.
4	Overvåke helse for hybrid datasikkerhet Sjekk status, og konfigurer e-postvarsler for alarmer.
5	Legg til eller fjern brukere fra prøveversjonen
6	Fullfør prøveperioden med én av følgende handlinger: Gå fra prøveversjon til produksjon Avslutt prøveversjonen uten å gå til produksjon

Aktiver prøveversjon

Før du begynner

1	Logg påhttps://admin.webex.com , og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Start prøveversjonen . Tjenestestatusen endres til prøveversjonsmodus.
4	Klikk på Legg til brukere og angi e-postadresse til én eller flere brukere for å prøve å bruke Hybrid Data Security-nodene for kryptering og indekseringstjenester. (Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory til å administrere prøvegruppen, `HdsTrialGroup` .)

Test hybriddistribusjonen av datasikkerhet

Bruk denne fremgangsmåten til å teste krypteringsscenarier med Hybrid Data Security.

Før du begynner

Konfigurer Hybrid Data Security-distribusjonen.
Aktiver prøveversjonen, og legg til flere prøveversjonsbrukere.
Kontroller at du har tilgang til syslog for å bekrefte at nøkkelforespørsler sendes til Hybrid Data Security-distribusjonen.

Taster for et gitt område angis av oppretteren av området. Logg på Webex-appen som én av pilotbrukerne, og opprett deretter et område og inviter minst én pilotbruker og én ikke-pilotbruker.

Hvis du deaktiverer Hybrid Data Security-distribusjonen, er ikke innhold i områder som pilotbrukere oppretter lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet.

Send meldinger til det nye området.

Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen.

Hvis du vil se etter en bruker som først oppretter en sikker kanal til KMS, filtrerer du på kms.data.method=create og kms.data.type=EPHEMERAL_ NØKKEL_ SAMLING :

Du bør finne en oppføring som følgende (identifikatorer forkortet for lesbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] – [KMS:REQUEST] mottatt, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_d [~]0, kms.data.method=create , kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_ NØKKEL_ SAMLING , kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Hvis du vil se etter en bruker som ber om en eksisterende nøkkel fra KMS, filtrerer du på kms.data.method=hente og kms.data.type=NØKKEL :

Du bør finne en oppføring som:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] – [KMS:REQUEST] mottatt, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_f [~]0, kms.data.method=hente , kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=NØKKEL , kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Hvis du vil se etter en bruker som ber om å opprette en ny KMS-nøkkel, filtrerer du på kms.data.method=create og kms.data.type=NØKKEL_ SAMLING :

Du bør finne en oppføring som:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] – [KMS:REQUEST] mottatt, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_ 4[~]0, kms.data.method=create , kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=NØKKEL_ SAMLING , kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Du bør finne en oppføring som:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] – [KMS:REQUEST] mottatt, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_d [~]0, kms.data.method=create , kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURSE_ SAMLING , kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Overvåke helse for hybrid datasikkerhet

1	I Kontrollhub , velger du Tjenester fra menyen på venstre side av skjermen.
2	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Innstillinger . Siden Innstillinger for hybrid datasikkerhet vises.
3	I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Gå inn .

Legg til eller fjern brukere fra prøveversjonen

Når du har aktivert en prøveversjon og lagt til det første settet med prøveversjonsbrukere, kan du legge til eller fjerne prøveversjonsmedlemmer når som helst mens prøveversjonen er aktiv.

Hvis organisasjonen din bruker katalogsynkronisering, bruker du Active Directory (i stedet for denne prosedyren) til å administrere prøvegruppen, HdsTrialGroup ; du kan vise gruppemedlemmene i Control Hub, men kan ikke legge til eller fjerne dem.

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Prøvemodus i området Tjenestestatus klikker du på Legg til brukere , eller klikk vise og redigere for å fjerne brukere fra prøveversjonen.
4	Skriv inn e-postadresse til én eller flere brukere som skal legges til, eller klikk på X av en bruker-ID for å fjerne brukeren fra prøveversjonen. Klikk deretter på Lagre .

Gå fra prøveversjon til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I delen Tjenestestatus klikker du på Flytt til produksjon .
4	Bekreft at du vil flytte alle brukerne til produksjon.

Avslutt prøveversjonen uten å gå til produksjon

1	Logg på Control Hub, og velg deretter Tjenester .
2	Under Hybrid Data Security klikker du på Innstillinger .
3	I Deaktiver-delen klikker du på Deaktiver .
4	Bekreft at du vil deaktivere tjenesten og avslutte prøveversjonen.

Administrer HDS-distribusjonen

Behandle HDS-distribusjon

Bruk oppgavene som er beskrevet her, til å administrere Hybrid Data Security-distribusjonen.

Angi tidsplan for klyngeoppgradering

Slik angir du oppgraderingsplanen:

1	Logg på Control Hub.
2	På Oversikt-siden, under Hybridtjenester, velger du Hybrid datasikkerhet .
3	Velg klyngen på siden Hybriddatasikkerhetsressurser.
4	I Oversikt-panelet til høyre, under Klyngeinnstillinger, velger du klyngenavnet.
5	På Innstillinger-siden, under Oppgradering, velger du tid og tidssone for oppgraderingsplanen. Merk: : Under tidssone vises dato og klokkeslett for neste tilgjengelige oppgradering. Du kan om nødvendig utsette oppgraderingen til neste dag ved å klikke på Utsette .

Endre nodekonfigurasjonen

Noen ganger kan det hende at du må endre konfigurasjonen av Hybrid Data Security-noden av en årsak som:

Endring av x.509-sertifikater på grunn av utløpsdato eller andre årsaker.

Vi støtter ikke endring av CN- domenenavn for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.

Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.

Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.

Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekonto som har en levetid på ni måneder. Når HDS-installasjonsverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkontoens API til å oppdatere passordet.») Hvis passordene ikke er utløpt ennå, gir verktøyet deg to alternativer:

Myk tilbakestilling – Det gamle og det nye passordet fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.

Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.

Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.

Før du begynner

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_ AGENT_ HTTP_ PROXY=http://BRUKERNAVN:PASSORD@SERVER_ IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_ AGENT_ HTTPS_ PROXY=http://BRUKERNAVN:PASSORD@SERVER_ IP:PORT`

Du trenger en kopi av den gjeldende ISO-filen for konfigurasjon for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-en når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.

Bruk Docker på en lokal maskin, kjør installasjonsverktøyet for HDS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:
```
docker-pålogging -u hdscustomersro
```
Når du blir bedt om passord, skriver du inn denne hashen:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Pass på at du henter det nyeste installasjonsverktøyet for denne prosedyren. Versjoner av verktøyet opprettet før 22. februar 2018 har ikke skjermbildene for tilbakestilling av passord.

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTP_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Bruk en nettleser til å koble til den lokale verten,http://127.0.0.1:8080 .

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Control Hub-kunden, og deretter klikker du på Godta for å fortsette.
Importer gjeldende konfigurasjons-ISO-fil.
Følg instruksjonene for å fullføre verktøyet og laste ned den oppdaterte filen.

Hvis du vil avslutte installasjonsverktøyet, skriver du CTRL+C .
Opprett en sikkerhetskopi av den oppdaterte filen i et annet datasenter.

Hvis du bare har én HDS-node som kjører , oppretter du en ny virtuell maskin for hybrid datasikkerhetsnode og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, se Opprett og registrer flere noder .

Installer HDS-vertens OVA.
Konfigurer den virtuelle HDS-en.
Monter den oppdaterte konfigurasjonsfil.
Registrer den nye noden i Control Hub.

For eksisterende HDS-noder som kjører den eldre konfigurasjonsfil, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node:

Slå av den virtuell maskin.
I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger .
Klikk på CD/DVD-stasjon 1 , velg alternativet for å montere fra en ISO-fil, og gå til stedet der du lastet ned den nye konfigurasjons-ISO-filen.
Sjekk Koble til når strømmen er på .
Lagre endringene og slå på den virtuell maskin.

Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen.

Slå av blokkert ekstern DNS-oppløsningsmodus

Når du registrerer en node eller kontrollerer nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk i modus for blokkert ekstern DNS-oppløsning.

Hvis nodene dine kan løse offentlige DNS-navn via interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.

Før du begynner

Kontroller at de interne DNS-serverne kan løse offentlige DNS-navn, og at nodene kan kommunisere med dem.

1	I en nettleser åpner du grensesnittet for Hybrid Data Security-node (IP-adresse/oppsett, for eksempel,https://192.0.2.0/setup), angi administratorlegitimasjonen du konfigurerte for noden, og klikk deretter Logg på .
2	Gå til Oversikt (standardsiden). Når den er aktivert, Blokkert ekstern DNS-oppløsning er satt til Ja .
3	Gå til Trust Store og proxy side.
4	Klikk på Kontroller proxy-tilkobling . Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-server og forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til Oversikt side, skal Blokkert ekstern DNS-oppløsning settes til nei.

Hva du skal gjøre videre

Gjenta proxy-tilkoblingstesten på hver node i Hybrid Data Security-klyngen.

Fjerne en node

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuell maskin.

Fjern noden:

Logg på Control Hub, og velg deretter Tjenester .
På Hybrid Data Security-kortet klikker du på Vis alle for å vise siden Hybriddatasikkerhetsressurser.
Velg klyngen for å vise oversiktspanelet.
Klikk på Åpne nodeliste .
Velg noden du vil fjerne, i Noder-fanen.
Klikk på Handlinger > Avregistrere node .

Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikk du på den virtuelle maskinen og klikker Slett .)

Hvis du ikke sletter den virtuelle maskinen, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine.

Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus

Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenter blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til datasenter i ventemodus.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger

På Avanserte innstillinger side, legger du til konfigurasjonen nedenfor eller fjerner passivmodus konfigurasjon for å gjøre noden aktiv. Noden kan håndtere trafikk når dette er konfigurert.

 passivMode: «false»

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslog-utdataene for å bekrefte at nodene til datasenter i ventemodus ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs.

Hva du skal gjøre videre

(Valgfritt) Avmonter ISO etter HDS-konfigurasjon

Før du begynner

Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.

1	Avslutt én av HDS-nodene dine.
2	I vCenter Server Appliance velger du HDS-noden.
3	Velg Rediger innstillinger > CD/DVD-stasjon og fjern merket ISO-fil for datalager .
4	Slå på HDS-noden og kontroller at det ikke er noen alarmer på minst 20 minutter.
5	Gjenta for hver HDS-node etter tur.

Feilsøke hybrid datasikkerhet

Vis varsler og feilsøking

Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
Meldinger og områdetitler kan ikke dekrypteres for:
- Nye brukere lagt til i et område (kan ikke hente nøkler)
- Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
Eksisterende brukere i et område fortsetter å kjøre så lenge klientene deres har en hurtigbuffer for krypteringsnøklene

Det er viktig at du overvåker Hybrid Data Security-klyngen på riktig måte og adresserer alle varsler umiddelbart for å unngå avbrudd i tjenesten.

Varsler

Tabell 1. Vanlige problemer og fremgangsmåten for å løse dem
Varsel	Handling
Tilgangsfeil til lokal database.	Se etter databasefeil eller problemer med det lokale nettverket.
tilkoblingsfeil til lokal database.	Kontroller at databaseserver er tilgjengelig, og at riktig påloggingsinformasjon for tjenestekonto ble brukt i nodekonfigurasjonen.
Tilgangsfeil for skytjeneste.	Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling .
Fornyer registrering av skytjeneste.	Registrering for skytjenester ble avbrutt. Fornyelse av registrering pågår.
Registrering av skytjeneste ble avbrutt.	Registreringen til skytjenester ble avsluttet. Tjenesten avsluttes.
Tjenesten ikke aktivert ennå.	Aktiver en prøveversjon, eller fullfør flyttingen av prøveversjonen til produksjon.
Det konfigurerte domenet samsvarer ikke med serversertifikat.	Kontroller at serversertifikat samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet.
Kunne ikke autentisere for skytjenester.	Se etter nøyaktighet og mulig utløp av legitimasjon for tjenestekonto .
Kunne ikke åpne den lokale nøkkellagerfilen.	Se etter integritet og passordnøyaktighet i den lokale nøkkellagerfilen.
Det lokale serversertifikat er ugyldig.	Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans.
Kan ikke legge inn beregninger.	Sjekk lokal nettverkstilgang til eksterne skytjenester.
Katalogen /media/configdrive/hds finnes ikke.	Kontroller konfigurasjonen for ISO-montering på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å montere ved omstart, og at den er vellykket.

Feilsøke hybrid datasikkerhet

Bruk følgende generelle retningslinjer når du feilsøker problemer med Hybrid Data Security.

1	Se gjennom Control Hub for å se eventuelle varsler, og reparer alle elementer du finner der.
2	Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen.
3	Kontakt Cisco-støtte .

Andre merknader

Kjente problemer med hybrid datasikkerhet

Hvis du avslutter Hybrid Data Security-klyngen (ved å slette den i Control Hub eller ved å avslutte alle noder), mister ISO-konfigurasjonsfilen eller mister tilgangen til nøkkellagerdatabasen, kan brukerne av Webex-appen ikke lenger bruke områder under Personene sine liste som ble opprettet med nøkler fra KMS. Dette gjelder både prøveversjon og produksjonsdistribusjoner. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og vi ber deg innstendig om ikke å avslutte HDS-tjenestene dine når de håndterer aktive brukerkontoer.
En klient som har en eksisterende ECDH-tilkobling til en KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time). Når en bruker blir medlem av en prøveversjon av Hybrid Data Security, fortsetter brukerens klient å bruke den eksisterende ECDH-tilkoblingen frem til tidsavbrudd. Alternativt kan brukeren logge av og på igjen Webex-appen for å oppdatere plasseringen appen kontakter for krypteringsnøkler.

Den samme virkemåten oppstår når du flytter en prøveversjon til produksjon for organisasjonen. Alle ikke-prøvebrukere med eksisterende ECDH-tilkoblinger til de tidligere datasikkerhetstjenestene vil fortsette å bruke disse tjenestene til ECDH-tilkoblingen reforhandles (gjennom tidsavbrudd eller ved å logge av og på igjen).

Bruk OpenSSL til å generere en PKCS12-fil

Før du begynner

OpenSSL er ett verktøy som kan brukes til å gjøre PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi hverken støtter eller promoterer én måte fremfor en annen.
Hvis du velger å bruke OpenSSL, tilbyr vi denne fremgangsmåten som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i Krav til X.509-sertifikater . Forstå disse kravene før du fortsetter.
Installer OpenSSL i et støttet miljø. Sehttps://www.openssl.org for programvaren og dokumentasjonen.
Opprett en privat nøkkel.
Start denne prosedyren når du mottar serversertifikat fra sertifiseringsinstans (CA).

1	Når du mottar serversertifikat fra CA, lagrer du det som `hdsnode.pem` .
2	Vis sertifikatet som tekst, og bekreft detaljene. `openssl x509 -text -noout -i hdsnode.pem`
3	Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt `hdsnode-bundle.pem` . Gruppefilen må inneholde serversertifikat, eventuelle mellomliggende CA-sertifikater og CA-rotsertifikatene, i formatet nedenfor: `-----BEGINSERTIFIKAT----- ### Serversertifikat. ### -----AVSLUTT SERTIFIKAT----- -----BEGIN SERTIFIKAT----- ### Mellomliggende CA-sertifikat. ### -----AVSLUTT SERTIFIKAT----- -----BEGIN SERTIFIKAT----- ### Rot- CA-sertifikat. ### -----AVSLUTT SERTIFIKAT-----`
4	Opprett .p12-filen med det vennlige navnet `kms-privat-nøkkel` . `openssl pkcs12 -eksport -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-privat-nøkkel -caname kms-privat-nøkkel -out hdsnode.p12`
5	Kontroller serversertifikat . `openssl pkcs12 -i hdsnode.p12` Skriv inn et passord når du blir bedt om det for å kryptere den private nøkkelen slik at den vises i utdataene. Deretter kontrollerer du at den private nøkkelen og det første sertifikatet inkluderer linjene `friendlyName: kms-privat-nøkkel` . Eksempel: bash$ openssl pkcs12 -in hdsnode.p12 Skriv inn importpassord: MAC-verifisert OK Bag-attributter friendlyName: kms-privat-nøkkel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nøkkelattributter: Skriv inn PEM-passord: Verifiserer – angi PEM-passord: -----BEGIN KRYPTERT PRIVAT NØKKEL----- -----AVSLUTT KRYPTERT PRIVAT NØKKEL----- Poseattributter friendlyName: kms-privat-nøkkel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=La oss kryptere/CN=La oss kryptere autoritet ---BEGINSERTIFIKAT----- -----END CERTIFICATE----- Bag-attributter friendlyName: CN=La oss kryptere myndighet X3,O=La oss kryptere,C=USA subject=/C=US/O=La oss kryptere/CN=La oss kryptere myndighet X3 utsteder=/O=Digital signatur klarert co./CN=DST rot CA X3 -----BEGINSERTIFIKAT----- -----AVSLUTT SERTIFIKAT-----

Hva du skal gjøre videre

Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet . Du vil bruke hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene .

Du kan bruke disse filene på nytt til å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.

Trafikk mellom HDS-nodene og skyen

Utgående trafikk for innsamling av beregninger

Innkommende trafikk

Hybriddatasikkerhetsnodene mottar følgende typer innkommende trafikk fra Webex-skyen:

Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
Oppgraderinger til nodeprogramvaren

Konfigurer Squid-proxyer for hybrid datasikkerhet

Websocket kan ikke koble til via Squid Proxy

Squid-proxyer som inspiserer HTTPS-trafikk, kan forstyrre etableringen av websocket ( wss: )-tilkoblinger som Hybrid Data Security krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.

Squid 4 og 5

Legg tilon_unsupported_protocol direktiv til squid.conf :

on_unsupported_protocol tunnel alle

Blekksprut 3.5.27

Vi testet Hybrid Data Security med følgende regler lagt til squid.conf . Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.

acl wssMercuryConnection ssl::server_name_regex kvikksølv-tilkoblingssl_bump skjøte wssMercuryConnection acl trinn1at_step SslBump1 acl trinn2at_step SslBump2 acl trinn3at_step SslBump3ssl_bump titt trinn 1 allessl_bump stirre trinn 2 allessl_bump bump step3 all

Forord

Ny og endret informasjon

Dato

Endringer gjort

20. oktober 2023

Oppdatert informasjon i Krav til databaseserver .
Lagt til Konfigurere datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert informasjon i Datasenter i ventemodus for katastrofegjenoppretting og Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

7. august 2023

La til et notat i Last ned installasjonsfiler .
La til et notat i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

23. mai 2023

Slettet informasjon fra Krav til databaseserver be om at en funksjon aktiveres ved å kontakte kontoteamet.
Oppdatert informasjon i Krav til ekstern tilkobling og la til Canada i tabellen for CI-verter.
La til et notat i Forventninger for distribusjon av hybrid datasikkerhet angående manglende tilgjengelighet av mekanismer for å flytte nøkler tilbake til skyen.

6. desember 2022

Bilder fra HDS-oppsettverktøyet er nå vert i ciscocitg dockerhub-lager.
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen emner for å gjenspeile endringene i kommandoer.

23. november 2022

HDS-noder kan nå bruke Windows-godkjenning mot Microsoft SQL Server.

Oppdaterte Krav til databaseserver emne med tilleggskrav for denne godkjenningsmodusen.

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med fremgangsmåten for å konfigurere Windows-autentisering på nodene.
Oppdaterte Krav til databaseserver emne med nye minimumsversjoner (PostgreSQL 10).

13. oktober 2021

Docker Desktop må kjøre et installasjonsprogram før du kan installere HDS-noder. Se Krav til Docker-skrivebord .

24. juni 2021

Merk at du kan bruke den private nøkkelfilen og CSR-en på nytt for å be om et annet sertifikat. Se Bruk OpenSSL til å generere en PKCS12-fil for detaljer.

30. april 2021

Endret VM-kravet for lokal harddiskplass til 30 GB. Se Krav til virtuell vert for detaljer.

24. februar 2021

HDS-installasjonsverktøyet kan nå kjøres bak en proxy. Se Opprett en konfigurasjons-ISO for HDS-vertene for detaljer.

2. februar 2021

HDS kan nå kjøres uten en montert ISO-fil. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.

11. januar 2021

Lagt til informasjon om HDS-oppsettverktøy og proxyer til Opprett en konfigurasjons-ISO for HDS-vertene .

13. oktober 2020

Oppdatert Last ned installasjonsfiler .

8. oktober 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med kommandoer for FedRAMP-miljøer.

14. august 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen med endringer i påloggingsprosessen.

5. august 2020

Oppdatert Test hybriddistribusjonen av datasikkerhet for endringer i loggmeldinger.

Oppdatert Krav til virtuell vert for å fjerne maksimalt antall verter.

16. juni 2020

Oppdatert Fjerne en node for endringer i Control Hub-grensesnittet.

4. juni 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for endringer i de avanserte innstillingene du måtte angi.

29. mai 2020

Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å vise at du også kan bruke TLS med SQL Server-databaser, brukergrensesnittendringer og andre presiseringer.

5. mai 2020

Oppdatert Krav til virtuell vert for å vise nye krav til ESXi 6.5.

21. april 2020

Oppdatert Krav til ekstern tilkobling med nye Americas CI-verter.

1. april 2020

Oppdatert Krav til ekstern tilkobling med informasjon om regionale CI-verter.

20. februar 2020 Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med informasjon om det nye, valgfrie skjermbildet for avanserte innstillinger i HDS-oppsettverktøyet.

4. februar 2020 Oppdatert Krav til proxy-server .

16. desember 2019 Klargjorde kravet om at blokkert ekstern DNS-oppløsningsmodus skal fungere i Krav til proxy-server .

19. november 2019

La til informasjon om blokkert ekstern DNS-oppløsningsmodus i følgende deler:

Proxy-støtte
Konfigurere HDS-noden for proxy-integrasjon
Deaktiver blokkert ekstern DNS-oppløsningsmodus

8. november 2019

Du kan nå konfigurere nettverksinnstillinger for en node mens du distribuerer OVA i stedet for etterpå.

Oppdaterte følgende deler tilsvarende:

Oppgaveflyt for distribusjon av hybrid datasikkerhet
Installer HDS Host OVA
Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

6. september 2019

Lagt til SQL Server Standard i Krav til databaseserver .

29. august 2019 Lagt til Konfigurer Squid-proxyer for hybrid datasikkerhet vedlegg med veiledning om konfigurering av Squid-proxyer til å ignorere websocket-trafikk for riktig drift.

20. august 2019

Lagt til og oppdaterte deler for å dekke proxy-støtte for hybrid datasikkerhetsnodekommunikasjon til Webex-skyen.

Proxy-støtte
Krav til proxy-server
Konfigurere HDS-noden for proxy-integrasjon

Hvis du bare vil ha tilgang til proxy-støtteinnholdet for en eksisterende distribusjon, kan du se Proxy-støtte for hybrid datasikkerhet og Webex-videonett hjelpeartikkel.

6. mars 2019

Flyttet krav og forutsetninger til et eget kapittel, Forbered miljøet ditt .
La til Oppgaveflyt for distribusjon av hybrid datasikkerhet oversikt i kapitlet Konfigurer en hybrid datasikkerhetsklynge .

Merk at frem til du starter en prøveversjon (ved hjelp av instruksjonene i det neste kapitlet), genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.
La til Oppgaveflyt fra prøveversjon til produksjon i kapitlet Kjør en prøveversjon og gå til produksjon .

28. februar 2019

Korrigerte mengden lokal harddiskplass per server som du bør sette til side når du klargjør de virtuelle vertene som blir Hybrid Data Security-nodene, fra 50 GB til 20 GB, for å gjenspeile størrelsen på disken som OVA-en oppretter.

26. februar 2019

Hybrid Data Security-noder støtter nå krypterte tilkoblinger med PostgreSQL-databaseservere og krypterte loggingstilkoblinger til en TLS-kompatibel syslog-server. Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene med instruksjoner.
Fjernet destinasjonsadresser fra tabellen Krav til Internett-tilkobling for virtuelle hybriddatasikkerhetsnoder. Tabellen viser nå til listen som vedlikeholdes i tabellen «Flere URL-adresser for Webex Teams-hybridtjenester» for Nettverkskrav for Webex Teams-tjenester .

24. januar 2019

5. november 2018

La til et foreløpig trinn for å rydde opp i alle eksisterende docker hds-forekomster i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .
Oppdaterte trinnet for nøkkeltilgangsnivået Opprett en konfigurasjons-ISO for HDS-vertene for å matche grensesnittet.

19. oktober 2018

Del informasjon om brannmurtilkoblingen i nodekrav og ISO-konfigurasjonsmaskinkrav i Fullfør forutsetningene for hybrid datasikkerhet .

31. juli 2018

La til port 22 (SSH-tilgang) og informasjon om NAT- og brannmurtilkoblinger til Fullfør forutsetningene for hybrid datasikkerhet .

21. mai 2018

Endret terminologi for å gjenspeile endringen av varemerke for Cisco Spark:

Cisco Spark Hybrid Data Security er nå Hybrid Data Security.
Cisco Spark-appen er nå Webex-appen.
Cisco Collaboraton Cloud er nå Webex-skyen.

11. april 2018

Lagt til Datasenter i ventemodus for katastrofegjenoppretting .
Oppdatert Fullfør forutsetningene for hybrid datasikkerhet for å angi at sikkerhetskopieringsmiljøet skal være i et annet datasenter.
Oppdatert Gjenoppretting ved katastrofe ved hjelp av Data Center i ventemodus .

22. februar 2018

La til informasjon om passord for tjenestekonto 9 måneders levetid og bruk av HDS-installasjonsverktøyet til å tilbakestille passordene for tjenestekonto , i Opprett en konfigurasjons-ISO for HDS-vertene og Endre nodekonfigurasjonen .

15. februar 2018

I Krav til X.509-sertifikater tabellen, angitt at sertifikatet ikke kan være et jokertegnsertifikat, og at KMS bruker CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene.

18. januar 2018

Lagt til vedlegg, Trafikk mellom HDS-nodene og skyen .
Fjernet et løst problem fra Kjente problemer med hybrid datasikkerhet .
Endret index.docker.io til *.docker.io og la til *.cloudfront.net i listen over TCP-tilkoblingskrav for HDS-nodene i Fullfør forutsetningene for hybrid datasikkerhet .
Oppdatert Opprett en konfigurasjons-ISO for HDS-vertene for å indikere at hvis databaseverten og Syslogd-serveren ikke kan DNS-løses fra HDS-nodene, må du konfigurere dem ved hjelp av IP-adresser.

2. november 2017

Tydeliggjort katalogsynkronisering av HdsTrialGroup.
Løste instruksjoner for opplasting av ISO konfigurasjonsfil for montering til VM-nodene.

18. august 2017

Først publisert

Kom i gang med Hybrid Data Security

Oversikt over hybrid datasikkerhet

Arkitektur for sikkerhetsriket

Webex-skyarkitekturen skiller forskjellige typer tjenester i separate områder, eller klareringsdomener, som vist nedenfor.

Klienten oppretter en sikker tilkobling med nøkkelbehandlingstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikker tilkobling bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroll.
Den krypterte meldingen lagres i lagringsområdet.

Samarbeide med andre organisasjoner

Forventninger for distribusjon av hybrid datasikkerhet

En Hybrid Data Security-distribusjon krever betydelig kundeengasjement og en bevissthet om risikoene som følger med å eie krypteringsnøkler.

Hvis du vil distribuere Hybrid Data Security, må du oppgi:

Et sikkert datasenter i et land som er et støttet plassering for Cisco Webex Teams planene .
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet ditt .

Behandle sikkerhetskopieringen og gjenopprettingen av databasen og konfigurasjonen av ISO.
Vær forberedt på å utføre rask gjenoppretting ved katastrofegjenoppretting hvis det oppstår en katastrofe, for eksempel en databasediskfeil eller en datasenter .

Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.

Konfigurasjonsprosess på høyt nivå

Dette dokumentet dekker oppsett og administrasjon av en Hybrid Data Security-distribusjon:

Konfigurer Hybrid Data Security – Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av Hybrid Data Security-programvare, testing av distribusjonen med et undersett av brukere i prøveversjonsmodus, og, når testingen er fullført, overgang til produksjon. Dette konverterer hele organisasjonen til å bruke Hybrid Data Security-klyngen for sikkerhetsfunksjoner.
Oppsett-, prøve- og produksjonsfasene dekkes i detalj i de neste tre kapitlene.
Vedlikeholde Hybrid Data Security-distribusjonen – Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke skjermvarsler og konfigurere e-postbaserte varsler i Control Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer –Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapitlet i denne veiledningen og tillegget Kjente problemer hjelpe deg med å finne ut og løse problemet.

Hybrid distribusjonsmodell for datasikkerhet

I foretningsdata distribuerer du Hybrid Data Security som én enkelt klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre websockets og sikker HTTP.

Hybrid distribusjonsmodell for datasikkerhet

Nodene blir aktive når du registrerer dem i Control Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.

Vi støtter bare én klynge per organisasjon.

Prøveversjonsmodus for hybrid datasikkerhet

Datasenter i ventemodus for katastrofegjenoppretting

Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus . I tilfelle en datasenter , kan du feile distribusjonen manuelt over til datasenter i ventemodus .

De aktive hybriddatasikkerhetsnodene må alltid være i samme datasenter som den aktive databaseserver.

Konfigurere datasenter i ventemodus for katastrofegjenoppretting

Følg trinnene nedenfor for å konfigurere ISO-filen for datasenter i ventemodus:

Før du starter

datasenter i ventemodus skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle datamaskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle datamaskiner. (Se Datasenter i ventemodus for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.

Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene .

ISO-filen må være en kopi av den originale ISO-filen til det primære datasenter som følgende konfigurasjonsoppdateringer skal utføres på.

Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger


passiveMode: 'true'

Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne.

I venstre navigasjonsrute i VMware vSphere-klienten høyreklikk du på den virtuelle maskinen og klikker Rediger innstillinger. .

Klikk på Rediger innstillinger > CD/DVD-stasjon 1 og velg ISO-fil for Datastore.

Sørg for Tilkoblet og Koble til når strømmen er på er kontrollert slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet.

Slå på HDS-noden og kontroller at det ikke er noen alarmer i minst 15 minutter.

Gjenta prosessen for hver node i datasenter i ventemodus.

Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i syslogs.

Hva nå?

Proxy-støtte

Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:

Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Klareringslager og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjon er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og hvilken godkjenningsplan som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon for hver node:
1. Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
2. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
3. Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
  - HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
  - HTTPS – Gir en kanal til serveren. Klienten mottar og godkjenner serverens sertifikat.
4. Godkjenningstype – Velg blant følgende godkjenningstyper:
  - Ingen – Ingen ytterligere godkjenning er nødvendig.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
  - Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
    
    Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.
  - Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
    
    Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
    
    Krever at du skriver inn brukernavn og passord for hver node.

Eksempel på noder og proxy for hybriddatasikkerhet

Blokkert ekstern DNS-oppløsningsmodus (eksplisitt proxy-konfigurasjoner)

Forbered miljøet ditt

Krav for hybrid datasikkerhet

Lisenskrav for Cisco Webex

Slik distribuerer du hybrid datasikkerhet:

Du må ha Pro Pack for Cisco Webex Control Hub. (Sehttps://www.cisco.com/go/pro-pack .)

Krav til Docker-skrivebord

Før du installerer HDS-nodene, må du ha Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig lisensieringsmodellen. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. Hvis du vil ha mer informasjon, se Docker-blogginnlegget, " Docker oppdaterer og utvider produktabonnementene våre «.

Krav til X.509-sertifikater

sertifikatkjede må oppfylle følgende krav:

Tabell 1. X.509-sertifikatkrav for hybrid distribusjon av datasikkerhet
Krav	Detaljer
Signert av en klarert sertifiseringsinstans (CA)	Som standard klarerer vi sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) påhttps://wiki.mozilla.org/CA:IncludedCAs .
Bærer et Common Name- domenenavn (CN) som identifiserer Hybrid Data Security-distribusjonen Er ikke et jokertegnsertifikat	CN-en trenger ikke å være tilgjengelig eller være en direktevert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel `hds.company.com`. CN kan ikke inneholde en * (jokertegn). CN brukes til å bekrefte hybriddatasikkerhetsnodene til Webex App-klienter. Alle hybriddatasikkerhetsnodene i klyngen bruker det samme sertifikatet. KMS-en din identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domener som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN- domenenavn. Velg et domene som kan gjelde for både prøveversjonen og produksjonsdistribusjonene.
Signatur som ikke er SHA1	KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er.
Formatert som en passordbeskyttet PKCS #12-fil Bruk det vennlige navnet på `kms-private-key` for å merke sertifikatet, den private nøkkelen og eventuelle mellomsertifikater som skal lastes opp.	Du kan bruke et konverteringsprogram som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet.

Krav til virtuell vert

De virtuelle vertene som du vil konfigurere som hybriddatasikkerhetsnoder i klyngen, har følgende krav:

Minst to separate verter (tre anbefales) plassert i det samme sikre datasenter
VMware ESXi 6.5 (eller nyere) er installert og kjører.

Du må oppgradere hvis du har en tidligere versjon av ESXi.
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server

Krav til databaseserver

Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene, når de er installert, oppretter databaseskjemaet.

Det finnes to alternativer for databaseserver. Kravene for hver av dem er som følger:

Tabell 2. Krav til databaseserver etter databasetype

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 eller 16, installert og kjører.

SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) er installert.

SQL Server 2016 krever Service Pack 2 og kumulativ oppdatering 2 eller senere.

HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

SQL Server JDBC-driver 4.6

Denne driverversjonen støtter SQL Server Always On ( Alltid på failover-klyngeforekomster og Alltid på tilgjengelighetsgrupper ).

Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server

Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:

HDS-nodene, Active Directory -infrastrukturen og MS SQL Server må alle være synkronisert med NTP.
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et hovednavn for tjeneste for Kerberos Connections .

HDS-oppsettverktøyet, HDS-startprogrammet og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når de ber om tilgang med Kerberos-autentisering.

Krav til ekstern tilkobling

Konfigurer brannmuren til å tillate følgende tilkoblingsmuligheter for HDS-programmene:

Applikasjon	Protokoll	Port	Veibeskrivelse fra app	Destinasjon
Hybride datasikkerhetsnoder	TCP	443	Utgående HTTPS og WSS	Webex-servere: .wbx2.com .ciscospark.com Alle Common Identity-verter Andre nettadresser som er oppført for Hybrid Data Security i Ytterligere URL-adresser for Webex Hybrid Services tabell over Nettverkskrav for Webex-tjenester
HDS-oppsettverktøy	TCP	443	Utgående HTTPS	*.wbx2.com Alle Common Identity-verter hub.docker.com

URL-adressene for CI-vertene (Common Identity) er regionsspesifikke. Dette er de nåværende CI-vertene:

Region	Felles URL-adresser for vertsidentitet
Nord- og Sør-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Den europeiske union	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com

Krav til proxy-server

Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.

Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).

Eksplisitt proxy – Squid.

Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
- Ingen godkjenning med HTTP eller HTTPS
- Enkel godkjenning med HTTP eller HTTPS
- Sammendragsgodkjenning kun med HTTPS
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til wbx2.com og ciscospark.com vil løse problemet.

Fullfør forutsetningene for hybrid datasikkerhet

Bruk denne sjekklisten for å sikre at du er klar til å installere og konfigurere Hybrid Data Security-klyngen.

Klargjør databaseserver som skal fungere som datalager for klyngen, i henhold til Krav til databaseserver . databaseserver må være lokalisert i det sikre datasenter med de virtuelle vertene.

Opprett en database for nøkkellagring. (Du må opprette denne databasen – ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.)
Samle inn detaljene som nodene skal bruke til å kommunisere med databaseserver:
- vertsnavn eller IP-adresse (vert) og port
- navnet på databasen (dbname) for nøkkellagring
- brukernavnet og passordet til en bruker med alle rettigheter i nøkkellagringsdatabasen

Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadresse og syslog-porten (standard er UDP 514).

Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-nodene som angitt i Krav til ekstern tilkobling .

Hvis du vil installere og kjøre HDS-installasjonsverktøyet, må den lokale maskinen ha tilkoblingsmulighetene som er angitt i Krav til ekstern tilkobling .

Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller Krav til proxy-server .

Konfigurer en hybrid datasikkerhetsklynge

Oppgaveflyt for distribusjon av hybrid datasikkerhet

Før du starter

Last ned OVA-filen til din lokale maskin for senere bruk.

Bruk HDS-oppsettverktøyet til å opprette en ISO konfigurasjonsfil for hybriddatasikkerhetsnodene.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillinger for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjon.

Konfigurer den virtuelle maskinen fra ISO konfigurasjonsfil du opprettet med HDS-installasjonsverktøyet.

Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du proxy-typen du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig.

Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode.

Fullfør klyngeoppsettet.

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Last ned installasjonsfiler

I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som hybriddatasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.

Logg påhttps://admin.webex.com , og klikk deretter Tjenester .

Finn Hybrid Data Security-kortet under Hybridtjenester, og klikk deretter på Konfigurer .

Velg Nei for å indikere at du ikke har satt opp noden ennå, og klikk deretter på Neste .

Nedlastingen av OVA-filen begynner automatisk. Lagre filen et sted på maskinen.

Du kan også klikke på Åpne Distribusjonsveiledning for å sjekke om det finnes en nyere versjon av denne veiledningen.

Opprett en konfigurasjons-ISO for HDS-vertene

Konfigurasjonsprosessen for Hybrid Data Security oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.

Før du starter

Beskrivelse	Variabel
HTTP-proxy uten autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy uten autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen når du gjør konfigurasjonsendringer, for eksempel disse:
- Databaselegitimasjon
- Sertifikatoppdateringer
- Endringer i retningslinjene for autorisasjon
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.

På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere.

Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende:

docker login -u hdscustomersro

Når du blir bedt om passord, skriver du inn denne hashen:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

Last ned det nyeste stabile bildet for miljøet ditt:

I vanlige miljøer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljøer:

docker pull ciscocitg/hds-setup-fedramp:stable

Når pull-en er fullført, skriver du inn riktig kommando for miljøet ditt:

I vanlige miljøer uten proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanlige miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljøer uten en proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljøer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Når beholderen kjører, ser du «Ekspressserver som lytter på port 8080».

Installasjonsverktøyet støtter ikke tilkobling til lokal vert gjennom http://localvert:8080 . Brukhttp://127.0.0.1:8080 for å koble til lokal vert.

Bruk en nettleser til å gå til den lokale verten, http://127.0.0.1:8080, og angi brukernavn for kundeadministrator for Control Hub ved ledeteksten.

Verktøyet bruker denne første oppføringen i brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsmelding.

På oversiktssiden for installasjonsverktøy klikker du på Kom i gang .

På ISO-import side, har du disse alternativene:

Nei –Hvis du oppretter din første HDS-node, har du ingen ISO-fil å laste opp.
Ja –Hvis du allerede har opprettet HDS-noder, velger du ISO-filen i nettleseren og laster den opp.

Kontroller at X.509-sertifikatet oppfyller kravene i Krav til X.509-sertifikater .

Hvis du aldri har lastet opp et sertifikat før, laster du opp X.509-sertifikatet, skriver inn passordet og klikker Fortsett .
Hvis sertifikatet er OK, klikker du på Fortsett .
Hvis sertifikatet er utløpt eller du vil erstatte det, velger du Nei for Fortsette å bruke HDS sertifikatkjede og privat nøkkel fra tidligere ISO? . Last opp et nytt X.509-sertifikat, angi passordet og klikk Fortsett .

Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret:

Velg din Databasetype ( PostgreSQL eller Microsoft SQL Server ).

Hvis du velger Microsoft SQL Server , får du et autentiseringstype -felt.
( Microsoft SQL Server bare) Velg din autentiseringstype :
- Grunnleggende autentisering : Du trenger et lokalt SQL Server- kontonavn i Brukernavn felt.
- Windows-autentisering : Du trenger en Windows-konto i formatet username@DOMAIN i Brukernavn felt.
Angi databaseserver i skjemaet <hostname>:<port> eller <IP-address>:<port>.

Eksempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan bruke en IP-adresse til grunnleggende autentisering hvis nodene ikke kan bruke DNS til å løse vertsnavnet.

Hvis du bruker Windows-godkjenning, må du angi et fullstendig kvalifisert domenenavn i formatet dbhost.example.org:1433
Skriv inn Databasenavn .
Skriv inn Brukernavn og Passord til en bruker med alle rettigheter i nøkkellagringsdatabasen.

Velg en Tilkoblingsmodus for TLS-database :

Modus

Beskrivelse

Foretrekker TLS (standardvalg)

HDS-noder krever ikke TLS for å koble til databaseserver. Hvis du aktiverer TLS på databaseserver, forsøker nodene en kryptert tilkobling.

Krev TLS

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.

Krev TLS og bekreft sertifikatunderskriver

Denne modusen er ikke aktuelt for SQL Server-databaser.

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Krev TLS og bekreft sertifikatunderskriver og vertsnavn

HDS-noder kobles bare til hvis databaseserver kan forhandle TLS.
Etter at du har opprettet en TLS-tilkobling, sammenligner noden underskriveren av sertifikatet fra databaseserver med sertifiseringsinstansen i rotsertifikat for database . Hvis de ikke samsvarer, avbryter noden tilkoblingen.
Nodene bekrefter også at vertsnavnet i serversertifikat samsvarer med vertsnavnet i Databasevert og port felt. Navnene må samsvare nøyaktig, ellers avbryter noden tilkoblingen.

Bruk rotsertifikat for database kontrollen under rullegardinlisten for å laste opp rotsertifikat for dette alternativet.

Konfigurer Syslogd-serveren på siden Systemlogger:

Angi nettadressen til syslog-serveren.

Hvis serveren ikke kan DNS-løses fra nodene for HDS-klyngen, bruker du en IP-adresse i URL-adressen.

Eksempel:
udp://10.92.43.23:514 angir logging til Syslogd-vert 10.92.43.23 på UDP-port 514.
Hvis du konfigurerer serveren til å bruke TLS-kryptering, kontrollerer du Er syslog-serveren din konfigurert for SSL-kryptering? .

Hvis du merker av for denne avmerkingsboks, må du kontrollere at du skriver inn en TCP-URL som for eksempel tcp://10.92.43.23:514.
Fra Velg avslutning av syslog-oppføring velger du riktig innstilling for ISO-filen: Velg eller Ny linje brukes for Graylog og Rsyslog TCP
- Nullbyte – \x00
- Ny linje – \n – Velg dette valget for Graylog og Rsyslog TCP.
Klikk på Fortsett.

(Valgfritt) Du kan endre standardverdi for noen databasetilkoblingsparametere i Avanserte innstillinger . Vanligvis er denne parameteren den eneste du kanskje vil endre:

app_datasource_connection_pool_maxSize: 10

Klikk på Fortsett på Tilbakestill passordet for tjenestekontoer skjermen.

Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer.

Klikk på Last ned ISO-fil . Lagre filen på et sted som er lett å finne.

Ta en sikkerhetskopi av ISO-filen på det lokale systemet.

Hvis du vil avslutte konfigureringsverktøyet, skriver du inn CTRL+C.

Hva nå?

Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe hvis du mister den.

Installer HDS Host OVA

Bruk denne fremgangsmåten til å opprette en virtuell maskin fra OVA-filen.

Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten.

Velg Fil > Distribuer OVF-mal .

Angi plasseringen av OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Neste .

På Velg en databehandlingsressurs -siden, velg måldataressursen, og klikk deretter Neste .

Det kjøres en valideringskontroll. Når den er fullført, vises maldetaljene.

Kontroller maldetaljene, og klikk deretter på Neste .

Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon side, klikk 4 CPUer og klikk deretter Neste .

På Velg lagring side, klikk Neste for å godta standard diskformat og retningslinjer for VM-lagring.

På Velg nettverk -siden, velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen.

På Tilpass mal side, konfigurerer du følgende nettverksinnstillinger:

Vertsnavn – Angi FQDN (vertsnavn og domene) eller vertsnavn med ett ord for noden.

Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
Hvis du vil sikre en vellykket registrering til skyen, bruker du bare små tegn i FQDN eller vertsnavnet du angir for noden. Store og små bokstaver støttes ikke for øyeblikket.
Den totale lengden på FQDN kan ikke overstige 64 tegn.

IP-adresse — Angi IP-adresse for det interne grensesnittet til noden.

Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
Maske – Angi nettverksmaske med punktum og desimal. For eksempel 255.255.255.0 .
Gateway – Angi IP-adresse for gatewayen . En gateway er en nettverksnode som fungerer som et tilgangspunkt til et annet nettverk.
DNS-servere – Angi en kommadelt liste over DNS-servere som håndterer oversettelse av domenenavn til numeriske IP-adresser. (Opptil fire DNS-oppføringer er tillatt.)
NTP-servere – Angi organisasjonens NTP-server eller en annen ekstern NTP-server som kan brukes i organisasjonen. Standard NTP-servere fungerer kanskje ikke for alle bedrifter. Du kan også bruke en kommadelt liste til å angi flere NTP-servere.

Distribuer alle nodene på samme delnett eller VLAN, slik at alle nodene i en klynge er tilgjengelige fra klienter i nettverket for administrative formål.

Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner.

Høyreklikk på den virtuelle noden, og velg deretter Strøm > Strøm på .

Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden.

Feilsøkingstips

Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen ved første oppstart, der du ikke kan logge på.

Konfigurer den virtuelle hybriddatasikkerhetsmaskinen

1	I VMware vSphere-klienten velger du den virtuelle hybriddatasikkerhetsnoden og velger Konsoll -fanen. Den virtuelle maskinen starter opp, og det vises en påloggingsmelding. Hvis påloggingsmeldingen ikke vises, trykker du på Gå inn .
2	Bruk følgende standard påloggingsinformasjon og passord for å logge på og endre legitimasjonen: Innlogging: `admin` Passord: `cisco` Siden du logger på den virtuelle maskinen for første gang, må du endre administrator .
3	Hvis du allerede har konfigurert nettverksinnstillinger i Installer HDS Host OVA , hopper du over resten av denne prosedyren. Ellers velger du på hovedmeny Rediger konfigurasjon alternativet.
4	Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden må ha en intern IP-adresse og DNS-navn. DHCP støttes ikke.
5	(Valgfritt) Endre vertsnavnet, domenet eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi at domenet skal samsvare med domenet du brukte til å hente X.509-sertifikatet.
6	Lagre nettverkskonfigurasjon og start den virtuelle maskinen på nytt slik at endringene trer i kraft.

Last opp og monter HDS-konfigurasjons-ISO

Bruk denne fremgangsmåten til å konfigurere den virtuell maskin fra ISO-filen du opprettet med HDS-installasjonsverktøyet.

Før du starter

Last opp ISO-filen fra datamaskinen:

I venstre navigasjonspanel i VMware vSphere-klienten klikker du på ESXi-serveren.
I maskinvarelisten i kategorien Konfigurasjon klikker du på Oppbevaring .
I Datalager-listen høyreklikk du på datalageret for de virtuelle maskinene og klikker Bla gjennom datalager .
Klikk på Last opp filer-ikonet, og klikk deretter på Last opp fil .
Bla til stedet der du lastet ned ISO-filen på datamaskinen, og klikk på Åpne .
Klikk på Ja for å godta advarselen om opplasting/nedlasting, og lukke dialogboksen for datalager.

Monter ISO-filen:

Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger.
Klikk på OK for å godta advarselen om begrensede redigeringsalternativer.
Klikk CD/DVD Drive 1, velger du alternativet for å montere fra en ISO-fil for datalager, og går til stedet der du lastet opp ISO-konfigurasjonsfilen.
Sjekk Tilkoblet og Koble til når strømmen er på .
Lagre endringene og start den virtuell maskin på nytt.

Hva nå?

Konfigurere HDS-noden for proxy-integrasjon

Før du starter

Se Proxy-støtte hvis du vil ha en oversikt over proxy-alternativene som støttes.
Krav til proxy-server

1	Angi URL-adressen til oppsett av HDS-node `https://[HDS Node IP or FQDN]/setup` i en nettleser skriver du inn administratorlegitimasjonen du konfigurerte for noden, og klikker deretter Logg på .
2	Gå til Klareringslager og proxy, og velg deretter et alternativ: Ingen proxy – Standardalternativet før du integrerer en proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse, og bør ikke trenge endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig. Gjennomsiktig inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTPS-konfigurasjon er nødvendig for distribusjonen av hybriddatasikkerhet, men HDS-nodene trenger et rotsertifikat slik at de klarerer proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer om hvilke nettsteder som kan besøkes, og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS). Eksplisitt proxy – Med eksplisitt proxy forteller du klienten (HDS-noder) hvilken proxy-server som skal brukes, og dette alternativet støtter flere godkjenningstyper. Når du har valgt dette alternativet, må du angi følgende informasjon: Proxy IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen. Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk. Proxy-protokoll – Velg http (viser og kontrollerer alle forespørsler som mottas fra klienten) eller https (gir en kanal til serveren, og klienten mottar og validerer serverens sertifikat). Velg et alternativ basert på hva proxy-serveren støtter. Godkjenningstype – Velg blant følgende godkjenningstyper: Ingen – Ingen ytterligere godkjenning er nødvendig. Tilgjengelig for HTTP- eller HTTPS-proxyer. Grunnleggende – Brukes for en HTTP-brukeragent til å angi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding. Tilgjengelig for HTTP- eller HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket. Bare tilgjengelig for HTTPS-proxyer. Hvis du velger dette alternativet, må du også skrive inn brukernavn og passord. Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy.
3	Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkeltegnpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt.
4	Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene, og deretter ser du Slå av blokkert ekstern DNS-oppløsningsmodus .
5	Etter at tilkoblingstesten blir bestått, kun for eksplisitt proxy satt til https, setter du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen trer i kraft etter 15 sekunder.
6	Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en HTTP-eksplisitt proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt i løpet av noen få minutter.
7	Når noden har startet på nytt, logger du på igjen om nødvendig, og deretter åpner du Oversikt-siden for å kontrollere tilkoblingskontrollene for å sikre at alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen.

Registrer den første noden i klyngen

Denne oppgaven tar den generelle noden du opprettet i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen , registrerer noden med Webex-skyen og gjør den om til en hybrid datasikkerhetsnode.

Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder distribuert for å gi redundans.

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Logg på https://admin.webex.com.
2	Fra menyen på venstre side av skjermen velger du Tjenester .
3	I delen Hybridtjenester finner du Hybrid Data Security og klikker på Konfigurer . Siden Registrer hybrid node for datasikkerhet vises.
4	Velg Ja for å indikere at du har satt opp noden og er klar til å registrere den, og klikk deretter på Neste .
5	I det første feltet skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du gir navn til en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas»
6	I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Denne IP-adresse eller FQDN må samsvare med IP-adresse eller vertsnavnet og domenet du brukte i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen . Det vises en melding som angir at du kan registrere noden til Webex.
7	Klikk på Gå til Node .
8	Klikk på Fortsett i advarselsmelding. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden.
9	Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen.
10	Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. På Hybrid datasikkerhet side, vises den nye klyngen som inneholder noden du registrerte. Noden vil automatisk laste ned den nyeste programvaren fra skyen.

Opprett og registrer flere noder

Før du starter

Når du starter registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
Kontroller at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.

1	Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA .
2	Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen .
3	Gjenta trinnene i den nye VM-en Last opp og monter HDS-konfigurasjons-ISO .
4	Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden.
5	Registrer noden. Ihttps://admin.webex.com , velger du Tjenester fra menyen på venstre side av skjermen. I delen Hybridtjenester finner du Hybrid Data Security-kortet og klikker på Ressurser . Siden for hybriddatasikkerhetsressurser vises. Klikk på Legg til ressurs . I det første feltet velger du navnet på den eksisterende klyngen. I det andre feltet skriver du inn den interne IP-adresse eller det fullt kvalifisert domenenavn (FQDN) til noden din, og klikker på Neste . Det vises en melding som angir at du kan registrere noden i Webex-skyen. Klikk på Gå til Node . Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til organisasjonen din for å få tilgang til noden. Sjekk Gi tilgang til hybriddatasikkerhetsnoden avkrysningsboksen, og klikk deretter på Fortsett . Kontoen din er validert, og meldingen «Registrering fullført» angir at noden nå er registrert i Webex-skyen. Klikk på koblingen eller lukk fanen for å gå tilbake til Control Hub Hybrid Data Security-siden. Noden din er registrert. Merk at frem til du starter en prøveversjon, genererer nodene en alarm som indikerer at tjenesten din ennå ikke er aktivert.

Hva nå?

Kjør en prøveversjon og gå til produksjon (neste kapittel)

Kjør en prøveversjon og gå til produksjon

Oppgaveflyt fra prøveversjon til produksjon

Før du starter