Este posibil să observați câteva articole care afișează conținut în mod inconsecvent. Ne cerem scuze pentru disconfort pe durata actualizării site-ului.
cross icon
În acest articol
dropdown icon
Prefață
    Informații noi și modificate
    dropdown icon
    Începeți cu securitatea datelor hibride
      Prezentare generală a securității datelor hibride
        dropdown icon
        Arhitectură Realm de securitate
          Domenii de separare (fără securitate hibridă a datelor)
        Colaborarea cu Alte Organizații
          Așteptări pentru implementarea securității datelor hibride
            Proces de configurare la nivel înalt
              dropdown icon
              Model de implementare a securității datelor hibride
                Model de implementare a securității datelor hibride
              Mod de încercare pentru securitatea datelor hibride
                dropdown icon
                Centrul de date standby pentru recuperarea dezastrelor
                  Configurarea Centrului de date standby pentru recuperarea dezastrelor
                Suport proxy
                dropdown icon
                Pregătiți-vă mediul
                  dropdown icon
                  Cerințe privind securitatea datelor hibride
                    Cerințe de licență Cisco Webex
                    Cerințe Docker Desktop
                    X.509 Cerințe privind certificatul
                    Cerințe Gazdă virtuală
                    Cerințe server bază de date
                    Cerințe de conectivitate externă
                    Cerințe server proxy
                  Completați cerințele preliminare pentru securitatea datelor hibride
                  dropdown icon
                  Configurarea unui cluster de securitate a datelor hibride
                    Flux sarcină de implementare a securității datelor hibride
                      Descărcați fișierele de instalare
                        Creați un ISO de configurare pentru gazdele HDS
                          Instalați gazda HDS OVA
                            Configurați VM-ul de securitate a datelor hibride
                              Încărcați și montați ISO de configurare HDS
                                Configurarea nodului HDS pentru integrarea proxy
                                  Înregistrați primul nod în cluster
                                    Creați și înregistrați mai multe noduri
                                    dropdown icon
                                    Efectuați un proces și mutați-vă la producție
                                      Încercare la fluxul sarcinilor de producție
                                        Activați procesul
                                          Testați implementarea securității datelor hibride
                                            Monitorizarea sănătății securității datelor hibride
                                              Adăugați sau eliminați utilizatori din procesul dvs.
                                                Mutați de la încercare la producție
                                                  Încheiați procesul fără a trece la producție
                                                  dropdown icon
                                                  Gestionați implementarea HDS
                                                    Gestionați implementarea HDS
                                                      Setați programul de upgrade al clusterului
                                                        Modificarea configurației nodului
                                                          Dezactivarea modului de rezoluție DNS extern blocat
                                                            Eliminați un nod
                                                              Recuperare dezastre utilizând Centrul de date standby
                                                                (Opțional) Dezasamblare ISO După configurarea HDS
                                                                dropdown icon
                                                                Depanarea securității datelor hibride
                                                                  Vizualizare alerte și depanare
                                                                    dropdown icon
                                                                    Alerte
                                                                      Probleme comune și pașii pentru a le rezolva
                                                                    Depanarea securității datelor hibride
                                                                    dropdown icon
                                                                    Alte note
                                                                      Probleme cunoscute pentru securitatea datelor hibride
                                                                        Utilizați OpenSSL pentru a genera un fișier PKCS12
                                                                          Trafic între nodurile HDS și cloud
                                                                            dropdown icon
                                                                            Configurați proxy-urile Squid pentru securitatea datelor hibride
                                                                              Websocket nu se poate conecta prin Squid Proxy
                                                                          În acest articol
                                                                          cross icon
                                                                          dropdown icon
                                                                          Prefață
                                                                            Informații noi și modificate
                                                                            dropdown icon
                                                                            Începeți cu securitatea datelor hibride
                                                                              Prezentare generală a securității datelor hibride
                                                                                dropdown icon
                                                                                Arhitectură Realm de securitate
                                                                                  Domenii de separare (fără securitate hibridă a datelor)
                                                                                Colaborarea cu Alte Organizații
                                                                                  Așteptări pentru implementarea securității datelor hibride
                                                                                    Proces de configurare la nivel înalt
                                                                                      dropdown icon
                                                                                      Model de implementare a securității datelor hibride
                                                                                        Model de implementare a securității datelor hibride
                                                                                      Mod de încercare pentru securitatea datelor hibride
                                                                                        dropdown icon
                                                                                        Centrul de date standby pentru recuperarea dezastrelor
                                                                                          Configurarea Centrului de date standby pentru recuperarea dezastrelor
                                                                                        Suport proxy
                                                                                        dropdown icon
                                                                                        Pregătiți-vă mediul
                                                                                          dropdown icon
                                                                                          Cerințe privind securitatea datelor hibride
                                                                                            Cerințe de licență Cisco Webex
                                                                                            Cerințe Docker Desktop
                                                                                            X.509 Cerințe privind certificatul
                                                                                            Cerințe Gazdă virtuală
                                                                                            Cerințe server bază de date
                                                                                            Cerințe de conectivitate externă
                                                                                            Cerințe server proxy
                                                                                          Completați cerințele preliminare pentru securitatea datelor hibride
                                                                                          dropdown icon
                                                                                          Configurarea unui cluster de securitate a datelor hibride
                                                                                            Flux sarcină de implementare a securității datelor hibride
                                                                                              Descărcați fișierele de instalare
                                                                                                Creați un ISO de configurare pentru gazdele HDS
                                                                                                  Instalați gazda HDS OVA
                                                                                                    Configurați VM-ul de securitate a datelor hibride
                                                                                                      Încărcați și montați ISO de configurare HDS
                                                                                                        Configurarea nodului HDS pentru integrarea proxy
                                                                                                          Înregistrați primul nod în cluster
                                                                                                            Creați și înregistrați mai multe noduri
                                                                                                            dropdown icon
                                                                                                            Efectuați un proces și mutați-vă la producție
                                                                                                              Încercare la fluxul sarcinilor de producție
                                                                                                                Activați procesul
                                                                                                                  Testați implementarea securității datelor hibride
                                                                                                                    Monitorizarea sănătății securității datelor hibride
                                                                                                                      Adăugați sau eliminați utilizatori din procesul dvs.
                                                                                                                        Mutați de la încercare la producție
                                                                                                                          Încheiați procesul fără a trece la producție
                                                                                                                          dropdown icon
                                                                                                                          Gestionați implementarea HDS
                                                                                                                            Gestionați implementarea HDS
                                                                                                                              Setați programul de upgrade al clusterului
                                                                                                                                Modificarea configurației nodului
                                                                                                                                  Dezactivarea modului de rezoluție DNS extern blocat
                                                                                                                                    Eliminați un nod
                                                                                                                                      Recuperare dezastre utilizând Centrul de date standby
                                                                                                                                        (Opțional) Dezasamblare ISO După configurarea HDS
                                                                                                                                        dropdown icon
                                                                                                                                        Depanarea securității datelor hibride
                                                                                                                                          Vizualizare alerte și depanare
                                                                                                                                            dropdown icon
                                                                                                                                            Alerte
                                                                                                                                              Probleme comune și pașii pentru a le rezolva
                                                                                                                                            Depanarea securității datelor hibride
                                                                                                                                            dropdown icon
                                                                                                                                            Alte note
                                                                                                                                              Probleme cunoscute pentru securitatea datelor hibride
                                                                                                                                                Utilizați OpenSSL pentru a genera un fișier PKCS12
                                                                                                                                                  Trafic între nodurile HDS și cloud
                                                                                                                                                    dropdown icon
                                                                                                                                                    Configurați proxy-urile Squid pentru securitatea datelor hibride
                                                                                                                                                      Websocket nu se poate conecta prin Squid Proxy
                                                                                                                                                  Ghid de implementare pentru securitatea datelor hibride Webex
                                                                                                                                                  list-menuÎn acest articol
                                                                                                                                                  Prefață

                                                                                                                                                  Informații noi și modificate

                                                                                                                                                  Dată

                                                                                                                                                  Modificări efectuate

                                                                                                                                                  20 octombrie 2023

                                                                                                                                                  07 august 2023

                                                                                                                                                  23 mai 2023

                                                                                                                                                  06 decembrie 2022

                                                                                                                                                  23 noiembrie 2022

                                                                                                                                                  13 octombrie 2021

                                                                                                                                                  Docker Desktop trebuie să ruleze un program de configurare înainte de a putea instala noduri HDS. Consultați Cerințele de desktop ale Docker.

                                                                                                                                                  24 iunie 2021

                                                                                                                                                  Rețineți că puteți reutiliza fișierul cu tastatură privată și CSR pentru a solicita un alt certificat. Consultați Utilizarea OpenSSL pentru a genera un fișier PKCS12 pentru detalii.

                                                                                                                                                  30 aprilie 2021

                                                                                                                                                  A schimbat cerința VM pentru spațiul local pe hard disk la 30 GB. Consultați Cerințele Gazdei Virtuale pentru detalii.

                                                                                                                                                  24 februarie 2021

                                                                                                                                                  Instrumentul de configurare HDS poate rula acum în spatele unui proxy. Consultați Creați un ISO de configurare pentru gazdele HDS pentru detalii.

                                                                                                                                                  2 februarie 2021

                                                                                                                                                  HDS poate rula acum fără un fișier ISO montat. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  11 ianuarie 2021

                                                                                                                                                  Au fost adăugate informații despre instrumentul de configurare HDS și proxy-uri pentru a crea un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  13 octombrie 2020

                                                                                                                                                  Fișiere de instalare Descărcare actualizate.

                                                                                                                                                  8 octombrie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu comenzi pentru mediile FedRAMP.

                                                                                                                                                  14 august 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu modificări ale procesului de conectare.

                                                                                                                                                  5 august 2020

                                                                                                                                                  Actualizat Testați implementarea securității datelor hibride pentru modificări ale mesajelor jurnal.

                                                                                                                                                  S-au actualizat Cerințele Gazdei Virtuale pentru a elimina numărul maxim de gazde.

                                                                                                                                                  16 iunie 2020

                                                                                                                                                  Actualizat Eliminați un nod pentru modificările din interfața cu utilizatorul Control Hub.

                                                                                                                                                  4 iunie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru modificările din Setările avansate pe care le-ați putea seta.

                                                                                                                                                  29 mai 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru a afișa puteți utiliza, de asemenea, TLS cu baze de date SQL Server, modificări de interfață de utilizator și alte clarificări.

                                                                                                                                                  5 mai 2020

                                                                                                                                                  Actualizat Cerințele Gazdei Virtuale pentru a afișa noua cerință a ESXi 6.5.

                                                                                                                                                  21 aprilie 2020

                                                                                                                                                  Actualizat Cerințe de conectivitate externă cu noi gazde CI din America.

                                                                                                                                                  Aprilie 1, 2020

                                                                                                                                                  Actualizat Cerințele de conectivitate externă cu informații despre gazdele regionale CI.

                                                                                                                                                  20 februarie 2020Actualizat Creați un ISO de configurare pentru gazdele HDS cu informații despre noul ecran opțional de setări avansate din instrumentul de configurare HDS.
                                                                                                                                                  4 februarie 2020Cerințe server proxy actualizate.
                                                                                                                                                  16 decembrie 2019A clarificat cerința ca modul de rezoluție DNS extern blocat să funcționeze în cerințele serverului proxy.
                                                                                                                                                  19 noiembrie 2019

                                                                                                                                                  Au fost adăugate informații despre modul de rezoluție DNS extern blocat în următoarele secțiuni:

                                                                                                                                                  8 noiembrie 2019

                                                                                                                                                  Acum puteți configura setările de rețea pentru un nod în timp ce implementați OVA, mai degrabă decât ulterior.

                                                                                                                                                  Actualizat în consecință următoarele secțiuni:


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  6 septembrie 2019

                                                                                                                                                  S-a adăugat standardul SQL Server la cerințele serverului bazei de date.

                                                                                                                                                  august 29, 2019A fost adăugată Configurarea proxy-urilor Squid pentru securitatea datelor hibride , cu îndrumări privind configurarea proxy-urilor Squid pentru a ignora traficul websocket pentru funcționarea corespunzătoare.
                                                                                                                                                  20 august 2019

                                                                                                                                                  Secțiuni adăugate și actualizate pentru a acoperi asistența proxy pentru comunicațiile nodului de securitate a datelor hibride în cloudul Webex.

                                                                                                                                                  Pentru a accesa doar conținutul de asistență proxy pentru o implementare existentă, consultați Asistența proxy pentru securitatea datelor hibride și articolul de ajutor Webex Video Mesh .

                                                                                                                                                  13 iunie 2019A fost actualizat Fluxul de activități de producție cu un memento pentru a sincroniza HdsTrialGroup obiectul de grup înainte de a începe un trial dacă organizația dvs. utilizează sincronizarea directorului.
                                                                                                                                                  6 martie 2019
                                                                                                                                                  februarie 28, 2019
                                                                                                                                                  • A corectat cantitatea de spațiu pe hard disk local pe server pe care ar trebui să o setați deoparte atunci când pregătiți gazdele virtuale care devin nodurile de securitate a datelor hibride, de la 50-GB la 20-GB, pentru a reflecta dimensiunea discului pe care OVA îl creează.

                                                                                                                                                  26 februarie 2019
                                                                                                                                                  • Nodurile de securitate a datelor hibride acceptă acum conexiuni criptate cu serverele bazei de date PostgreSQL și conexiuni criptate de conectare la un server syslog TLS capabil. Actualizat Creați un ISO de configurare pentru gazdele HDS cu instrucțiuni.

                                                                                                                                                  • URL-urile de destinație au fost eliminate din tabelul „Cerințe de conectivitate la internet pentru nodul de securitate a datelor hibride VMs”. Tabelul se referă acum la lista menținută în tabelul „URL-uri suplimentare pentru serviciile hibride Webex Teams” din Cerințele rețelei pentru serviciile Webex Teams.

                                                                                                                                                  24 ianuarie 2019

                                                                                                                                                  • Securitatea datelor hibride acceptă acum Microsoft SQL Server ca bază de date. SQL Server întotdeauna activat (întotdeauna pe clusterele de eșec și întotdeauna pe grupurile de disponibilitate) este acceptat de driverele JDBC care sunt utilizate în securitatea datelor hibride. Conținut adăugat legat de implementarea cu SQL Server.


                                                                                                                                                     

                                                                                                                                                    Asistența pentru serverul Microsoft SQL este destinată numai noilor implementări ale securității datelor hibride. În prezent, nu acceptăm migrarea datelor de la PostgreSQL la serverul Microsoft SQL în cadrul unei implementări existente.

                                                                                                                                                  noiembrie 5, 2018
                                                                                                                                                  19 octombrie 2018

                                                                                                                                                  31 iulie 2018

                                                                                                                                                  21 mai 2018

                                                                                                                                                  Terminologia modificată pentru a reflecta rebranding-ul Cisco Spark:

                                                                                                                                                  • Securitatea datelor hibride Cisco Spark este acum Securitatea datelor hibride.

                                                                                                                                                  • Aplicația Cisco Spark este acum aplicația Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud este acum cloudul Webex.

                                                                                                                                                  11 aprilie 2018
                                                                                                                                                  22 februarie 2018
                                                                                                                                                  februarie 15, 2018
                                                                                                                                                  • În tabelul X.509 Cerințe privind certificatul , s-a specificat că certificatul nu poate fi un certificat de carte de vizită și că KMS utilizează domeniul CN, nu orice domeniu definit în câmpurile SAN x.509v3.

                                                                                                                                                  ianuarie 18, 2018

                                                                                                                                                  noiembrie 2, 2017

                                                                                                                                                  • Sincronizarea directorului clarificată a HdsTrialGroup.

                                                                                                                                                  • Fix instrucțiuni pentru încărcarea fișierului de configurare ISO pentru montare la nodurile VM.

                                                                                                                                                  18 august 2017

                                                                                                                                                  Prima publicare

                                                                                                                                                  Începeți cu securitatea datelor hibride

                                                                                                                                                  Prezentare generală a securității datelor hibride

                                                                                                                                                  Începând cu prima zi, securitatea datelor a fost accentul principal în proiectarea Aplicației Webex. Piatra de temelie a acestei securități este criptarea conținutului end-to-end, activată de clienții aplicației Webex care interacționează cu Serviciul de gestionare a cheilor (KMS). KMS este responsabil pentru crearea și gestionarea cheilor criptografice pe care clienții le utilizează pentru a cripta și decripta în mod dinamic mesajele și fișierele.

                                                                                                                                                  În mod implicit, toți clienții Aplicației Webex primesc criptare end-to-end cu chei dinamice stocate în KMS cloud, în domeniul de securitate al Cisco. Hybrid Data Security mută KMS și alte funcții legate de securitate în centrul de date la nivel de întreprindere dvs., astfel încât nimeni în afară de dvs. să nu dețină cheile conținutului dvs. criptat.

                                                                                                                                                  Arhitectură Realm de securitate

                                                                                                                                                  Arhitectura cloud Webex separă diferite tipuri de servicii în domenii separate sau domenii de încredere, după cum este descris mai jos.

                                                                                                                                                  Domenii de separare (fără securitate hibridă a datelor)

                                                                                                                                                  Pentru a înțelege în continuare securitatea datelor hibride, să ne uităm mai întâi la acest caz cloud pur, în care Cisco oferă toate funcțiile din domeniile sale cloud. Serviciul de identitate, singurul loc în care utilizatorii pot fi direct corelați cu informațiile lor personale, cum ar fi adresa de e-mail, este separat în mod logic și fizic de domeniul de securitate din centrul de date B. Ambele sunt, la rândul lor, separate de domeniul în care conținutul criptat este stocat în cele din urmă, în centrul de date C.

                                                                                                                                                  În această diagramă, clientul este aplicația Webex care rulează pe laptopul unui utilizator și s-a autentificat cu serviciul de identitate. Când utilizatorul compune un mesaj pentru a trimite într-un spațiu, au loc următorii pași:

                                                                                                                                                  1. Clientul stabilește o conexiune securizată cu serviciul de gestionare a cheilor (KMS), apoi solicită o cheie pentru a cripta mesajul. Conexiunea securizată utilizează ECDH, iar KMS criptează cheia utilizând o cheie principală AES-256.

                                                                                                                                                  2. Mesajul este criptat înainte de a părăsi clientul. Clientul îl trimite la serviciul de indexare, care creează indexuri de căutare criptate pentru a ajuta în căutările viitoare pentru conținut.

                                                                                                                                                  3. Mesajul criptat este trimis serviciului de conformitate pentru verificări de conformitate.

                                                                                                                                                  4. Mesajul criptat este stocat în domeniul de stocare.

                                                                                                                                                  Când implementați Securitatea datelor hibride, mutați funcțiile domeniului de securitate (KMS, indexare și conformitate) în centrul dvs. de date local. Celelalte servicii cloud care alcătuiesc Webex (inclusiv stocarea identității și a conținutului) rămân în domeniile Cisco.

                                                                                                                                                  Colaborarea cu Alte Organizații

                                                                                                                                                  Utilizatorii din organizația dvs. pot utiliza în mod regulat Aplicația Webex pentru a colabora cu participanți externi din alte organizații. Când unul dintre utilizatorii dvs. solicită o cheie pentru un spațiu care este deținut de organizația dvs. (deoarece a fost creat de unul dintre utilizatorii dvs.), KMS trimite cheia către client printr-un canal ECDH securizat. Cu toate acestea, atunci când o altă organizație deține cheia pentru spațiu, KMS-ul direcționează cererea către cloudul Webex printr-un canal ECDH separat pentru a obține cheia de la KMS-ul corespunzător și apoi returnează cheia către utilizatorul dvs. pe canalul original.

                                                                                                                                                  Serviciul KMS care rulează pe Org A validează conexiunile la KMS în alte organizații utilizând x.509 certificate PKI. Consultați Pregătiți-vă mediul pentru detalii despre generarea unui certificat x.509 pe care să-l utilizați cu implementarea securității datelor hibride.

                                                                                                                                                  Așteptări pentru implementarea securității datelor hibride

                                                                                                                                                  O implementare a securității datelor hibride necesită un angajament semnificativ din partea clienților și o conștientizare a riscurilor pe care le implică deținerea cheilor de criptare.

                                                                                                                                                  Pentru a implementa securitatea datelor hibride, trebuie să furnizați:

                                                                                                                                                  Pierderea completă a configurației ISO pe care o construiți pentru securitatea datelor hibride sau a bazei de date pe care o furnizați va duce la pierderea tastelor. Pierderea tastelor împiedică utilizatorii să decripteze conținutul spațiului și alte date criptate în Aplicația Webex. Dacă se întâmplă acest lucru, puteți construi o nouă implementare, dar numai conținut nou va fi vizibil. Pentru a evita pierderea accesului la date, trebuie:

                                                                                                                                                  • Gestionați backup-ul și recuperarea bazei de date și configurația ISO.

                                                                                                                                                  • Fiți pregătiți să efectuați recuperarea rapidă a dezastrelor dacă apare o catastrofă, cum ar fi defectarea discului de bază de date sau dezastrul centrului de date.


                                                                                                                                                   

                                                                                                                                                  Nu există niciun mecanism pentru a muta cheile înapoi în Cloud după o implementare HDS.

                                                                                                                                                  Proces de configurare la nivel înalt

                                                                                                                                                  Acest document acoperă configurarea și gestionarea implementării securității datelor hibride:

                                                                                                                                                  • Configurați securitatea datelor hibride—Aceasta include pregătirea infrastructurii necesare și instalarea software-ului de securitate a datelor hibride, testarea implementării dvs. cu un subset de utilizatori în modul de încercare și, odată ce testarea dvs. este finalizată, trecerea la producție. Aceasta convertește întreaga organizație pentru a utiliza clusterul dvs. de securitate a datelor hibride pentru funcțiile de securitate.

                                                                                                                                                    Fazele de configurare, încercare și producție sunt acoperite în detaliu în următoarele trei capitole.

                                                                                                                                                  • Mențineți implementarea securității datelor hibride—cloud-ul Webex oferă automat upgrade-uri în curs. Departamentul dvs. IT poate oferi un singur nivel de asistență pentru această implementare și poate angaja asistență Cisco după cum este necesar. Puteți utiliza notificări pe ecran și puteți configura alerte pe bază de e-mail în Control Hub.

                                                                                                                                                  • Înțelegerea alertelor comune, a pașilor de depanare și a problemelor cunoscute—Dacă întâmpinați probleme la implementarea sau utilizarea securității datelor hibride, ultimul capitol din acest ghid și apendicele Probleme cunoscute vă pot ajuta să determinați și să remediați problema.

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  În cadrul centrului dvs. de date al întreprinderii, implementați Securitatea datelor hibride ca un singur grup de noduri pe gazde virtuale separate. Nodurile comunică cu cloudul Webex prin prize web securizate și HTTP securizat.

                                                                                                                                                  În timpul procesului de instalare, vă oferim fișierul OVA pentru a configura dispozitivul virtual pe VMs pe care le furnizați. Utilizați instrumentul de configurare HDS pentru a crea un fișier ISO de configurare a clusterului personalizat pe care îl montați pe fiecare nod. Clusterul de securitate a datelor hibride utilizează serverul Syslogd furnizat și baza de date PostgreSQL sau Microsoft SQL Server. (Configurați detaliile conexiunii Syslogd și a bazei de date în Instrumentul de configurare HDS.)

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  Numărul minim de noduri pe care le puteți avea într-un cluster este de două. Vă recomandăm cel puțin trei, și puteți avea până la cinci. Existența mai multor noduri asigură faptul că serviciul nu este întrerupt în timpul unui upgrade de software sau al unei alte activități de întreținere pe un nod. (Cloudul Webex actualizează doar un nod la un moment dat.)

                                                                                                                                                  Toate nodurile dintr-un cluster accesează aceeași bază de date cu tastatură și înregistrează activitatea pe același server syslog. Nodurile în sine sunt apatride și se ocupă de solicitările cheie în modul rotund-robin, așa cum este direcționat de cloud.

                                                                                                                                                  Nodurile devin active atunci când le înregistrați în Control Hub. Pentru a scoate un nod individual din serviciu, îl puteți desînregistra și apoi îl puteți reînregistra, dacă este necesar.

                                                                                                                                                  Sprijinim doar un singur cluster per organizație.

                                                                                                                                                  Mod de încercare pentru securitatea datelor hibride

                                                                                                                                                  După configurarea unei implementări de securitate a datelor hibride, încercați mai întâi cu un set de utilizatori pilot. În timpul perioadei de încercare, acești utilizatori utilizează domeniul local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Ceilalți utilizatori continuă să utilizeze domeniul de securitate cloud.

                                                                                                                                                  Dacă decideți să nu continuați implementarea în timpul perioadei de încercare și să dezactivați serviciul, utilizatorii pilot și orice utilizatori cu care au interacționat prin crearea de spații noi în timpul perioadei de încercare vor pierde accesul la mesaje și conținut. Aceștia vor vedea „Acest mesaj nu poate fi decriptat” în aplicația Webex.

                                                                                                                                                  Dacă sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare și sunteți pregătit să extindeți Securitatea datelor hibride la toți utilizatorii dvs., mutați implementarea în producție. Utilizatorii pilot continuă să aibă acces la cheile care au fost utilizate în timpul încercării. Cu toate acestea, nu se poate muta înapoi și înainte între modul de producție și procesul inițial. Dacă trebuie să dezactivați serviciul, cum ar fi pentru a efectua recuperarea dezastrelor, atunci când reactivați, trebuie să începeți o nouă încercare și să configurați setul de utilizatori pilot pentru noua încercare înainte de a reveni la modul de producție. Dacă utilizatorii păstrează accesul la date în acest moment depinde de faptul dacă ați menținut cu succes copii de rezervă ale stocului de date cheie și ale fișierului de configurare ISO pentru nodurile de securitate a datelor hibride din cluster.

                                                                                                                                                  Centrul de date standby pentru recuperarea dezastrelor

                                                                                                                                                  În timpul implementării, ați configurat un centru de date standby securizat. În cazul unui dezastru al unui centru de date, puteți eșua manual implementarea în centrul de date standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Eşec manual la centrul de date standby

                                                                                                                                                  Bazele de date ale centrelor de date active și standby sunt în sincronizare unele cu altele, ceea ce va reduce la minimum timpul necesar pentru a efectua eșecul. Fișierul ISO al centrului de date standby este actualizat cu configurații suplimentare care asigură că nodurile sunt înregistrate în organizație, dar nu vor gestiona traficul. Prin urmare, nodurile centrului de date standby rămân întotdeauna la zi cu cea mai recentă versiune de software HDS.


                                                                                                                                                   

                                                                                                                                                  Nodurile active de securitate a datelor hibride trebuie să fie întotdeauna în același centru de date ca serverul de bază de date activă.

                                                                                                                                                  Configurarea Centrului de date standby pentru recuperarea dezastrelor

                                                                                                                                                  Urmați pașii de mai jos pentru a configura fișierul ISO al centrului de date standby:

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Centrul de date standby trebuie să reflecte mediul de producție al VMs și o bază de date PostgreSQL sau Microsoft SQL Server de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs. (Consultați Standby Data Center for Disaster Recovery pentru o prezentare generală a acestui model de eșec.)

                                                                                                                                                  • Asigurați-vă că sincronizarea bazei de date este activată între baza de date a nodurilor de cluster active și pasive.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Fișierul ISO trebuie să fie o copie a fișierului ISO original al centrului de date principal pe care urmează să fie făcute următoarele actualizări de configurare.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos pentru a plasa nodul în modul pasiv. În acest mod, nodul va fi înregistrat în organizație și conectat la cloud, dar nu va gestiona niciun trafic.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați jurnalele pentru a verifica dacă nodurile sunt în mod pasiv. Ar trebui să puteți vizualiza mesajul „KMS configurat în mod pasiv” în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După configurare passiveMode în fișierul ISO și salvându-l, puteți crea o altă copie a fișierului ISO fără passiveMode configurare și salvați-l într-o locație sigură. Această copie a fișierului ISO fără passiveMode configurat poate ajuta într-un proces rapid de eșec în timpul recuperării dezastrelor. Consultați Recuperarea dezastrelor utilizând Centrul de date standby pentru procedura detaliată de nereușită.

                                                                                                                                                  Asistență proxy

                                                                                                                                                  Securitatea datelor hibride acceptă inspecții explicite, transparente și proxy-uri neinspectate. Puteți lega aceste proxy-uri de implementarea dvs., astfel încât să puteți securiza și monitoriza traficul de la întreprindere la cloud. Puteți utiliza o interfață de administrare a platformei pe noduri pentru gestionarea certificatelor și pentru a verifica starea generală a conectivității după ce ați configurat proxy-ul pe noduri.

                                                                                                                                                  Nodurile de securitate a datelor hibride acceptă următoarele opțiuni proxy:

                                                                                                                                                  • Fără proxy—Implicit dacă nu utilizați configurația de configurare a nodului HDS Trust Store și proxy pentru a integra un proxy. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Proxy fără inspecție transparent—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Tunelare transparentă sau inspecție proxy—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTP sau HTTPS pe noduri. Cu toate acestea, nodurile au nevoie de un certificat rădăcină, astfel încât să aibă încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).

                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți nodurilor HDS ce server proxy și sistem de autentificare să utilizați. Pentru a configura un proxy explicit, trebuie să introduceți următoarele informații pe fiecare nod:

                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—În funcție de ce acceptă serverul dvs. proxy, alegeți între următoarele protocoale:

                                                                                                                                                      • HTTP—Vizualizează și controlează toate solicitările pe care clientul le trimite.

                                                                                                                                                      • HTTPS—Oferă un canal serverului. Clientul primește și validează certificatul serverului.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai dacă selectați HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                  Exemplu de noduri hibride de securitate a datelor și proxy

                                                                                                                                                  Această diagramă arată o conexiune de exemplu între securitatea datelor hibride, rețea și un proxy. Pentru inspectarea transparentă și opțiunile HTTPS de inspecție explicită a proxy-urilor, trebuie instalat același certificat rădăcină pe proxy și pe nodurile de securitate a datelor hibride.

                                                                                                                                                  Modul de rezoluție DNS extern blocat (configurații proxy explicite)

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. În implementările cu configurații proxy explicite care nu permit rezoluția DNS externă pentru clienții interni, dacă nodul nu poate interoga serverele DNS, acesta intră automat în modul de Rezoluție DNS Externă Blocată. În acest mod, pot continua testele de înregistrare a nodurilor și alte teste de conectivitate proxy.

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  Cerințe privind securitatea datelor hibride

                                                                                                                                                  Cerințe de licență Cisco Webex

                                                                                                                                                  Pentru implementarea securității datelor hibride:

                                                                                                                                                  Cerințe Docker Desktop

                                                                                                                                                  Înainte de a instala nodurile HDS, aveți nevoie de Docker Desktop pentru a rula un program de configurare. Docker și-a actualizat recent modelul de licențiere. Este posibil ca organizația dvs. să necesite un abonament cu plată pentru Docker Desktop. Pentru detalii, consultați postarea de pe blogul Docker, " Docker actualizează și extinde abonamentele noastre la produse ".

                                                                                                                                                  X.509 Cerințe privind certificatul

                                                                                                                                                  Lanțul certificatului trebuie să îndeplinească următoarele cerințe:

                                                                                                                                                  Tabelul 1. Cerințe de certificare X.509 pentru implementarea securității datelor hibride

                                                                                                                                                  Obligatoriu

                                                                                                                                                  Detalii

                                                                                                                                                  • Semnată de o autoritate de certificare de încredere (CA)

                                                                                                                                                  În mod implicit, avem încredere în CA-urile din lista Mozilla (cu excepția WoSign și StartCom) la https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Poartă un nume de domeniu comun (CN) care identifică implementarea securității datelor hibride

                                                                                                                                                  • Nu este un certificat de carte de vizită

                                                                                                                                                  CN-ul nu trebuie să fie accesibil sau o gazdă live. Vă recomandăm să utilizați un nume care reflectă organizația dvs., de exemplu, hds.company.com.

                                                                                                                                                  CN nu trebuie să conțină un * (wildcard).

                                                                                                                                                  CN este utilizat pentru a verifica nodurile de securitate a datelor hibride pentru clienții Aplicației Webex. Toate nodurile de securitate a datelor hibride din clusterul dvs. utilizează același certificat. KMS-ul se identifică utilizând domeniul CN, nu orice domeniu care este definit în câmpurile SAN x.509v3.

                                                                                                                                                  După ce ați înregistrat un nod cu acest certificat, nu acceptăm schimbarea numelui domeniului CN. Alegeți un domeniu care se poate aplica atât implementărilor de încercare, cât și implementărilor de producție.

                                                                                                                                                  • Semnătură non-SHA1

                                                                                                                                                  Software-ul KMS nu acceptă semnăturile SHA1 pentru validarea conexiunilor la KMSs ale altor organizații.

                                                                                                                                                  • Format ca fișier PKCS #12 protejat prin parolă

                                                                                                                                                  • Utilizați numele prietenos al kms-private-key pentru a eticheta certificatul, cheia privată și orice certificate intermediare pentru a încărca.

                                                                                                                                                  Puteți utiliza un convertor, cum ar fi OpenSSL pentru a schimba formatul certificatului.

                                                                                                                                                  Va trebui să introduceți parola atunci când rulați Instrumentul de configurare HDS.

                                                                                                                                                  Software-ul KMS nu impune utilizarea cheii sau restricții extinse de utilizare a cheii. Unele autorități de certificare impun aplicarea unor restricții extinse de utilizare a cheilor pentru fiecare certificat, cum ar fi autentificarea serverului. Este în regulă să utilizați autentificarea serverului sau alte setări.

                                                                                                                                                  Cerințe Gazdă virtuală

                                                                                                                                                  Gazdele virtuale pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. au următoarele cerințe:

                                                                                                                                                  • Cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat

                                                                                                                                                  • VMware ESXi 6.5 (sau mai târziu) instalat și rulează.


                                                                                                                                                     

                                                                                                                                                    Trebuie să faceți upgrade dacă aveți o versiune anterioară a ESXi.

                                                                                                                                                  • Minim 4 vCPU-uri, 8-GB memorie principală, 30-GB spațiu pe hard disk local pe server

                                                                                                                                                  Cerințe server bază de date


                                                                                                                                                   

                                                                                                                                                  Creați o nouă bază de date pentru stocarea cheilor. Nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.

                                                                                                                                                  Există două opțiuni pentru serverul de baze de date. Cerințele pentru fiecare sunt după cum urmează:

                                                                                                                                                  Tabelul 2. Cerințe server bază de date în funcție de tipul de bază de date

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 sau 16, instalat și în funcțiune.

                                                                                                                                                  • Server SQL 2016, 2017 sau 2019 (Enterprise sau Standard) instalat.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 necesită pachetul de servicii 2 și actualizarea cumulativă 2 sau mai târziu.

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Software-ul HDS instalează în prezent următoarele versiuni de drivere pentru comunicarea cu serverul bazei de date:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Șofer JDBC Postgres 42.2.5

                                                                                                                                                  Driver JDBC SQL Server 4.6

                                                                                                                                                  Această versiune a driverului acceptă SQL Server întotdeauna activat (întotdeauna pe instanțe de cluster nereușite și întotdeauna pe grupuri de disponibilitate).

                                                                                                                                                  Cerințe suplimentare pentru autentificarea Windows împotriva Microsoft SQL Server

                                                                                                                                                  Dacă doriți ca nodurile HDS să utilizeze autentificarea Windows pentru a obține acces la baza dvs. de date Keystore pe Microsoft SQL Server, atunci aveți nevoie de următoarea configurație în mediul dvs.:

                                                                                                                                                  • Nodurile HDS, infrastructura Active Directory și serverul MS SQL trebuie sincronizate cu NTP.

                                                                                                                                                  • Contul Windows pe care îl furnizați nodurilor HDS trebuie să aibă acces citit/scris la baza de date.

                                                                                                                                                  • Serverele DNS pe care le furnizați nodurilor HDS trebuie să poată rezolva Centrul dvs. de distribuție a cheilor (KDC).

                                                                                                                                                  • Puteți înregistra instanța bazei de date HDS pe serverul dvs. Microsoft SQL ca nume principal al serviciului (SPN) în directorul dvs. activ. Consultați Înregistrarea unui nume principal de serviciu pentru conexiunile Kerberos.

                                                                                                                                                    Instrumentul de configurare HDS, lansatorul HDS și KMS local trebuie să utilizeze autentificarea Windows pentru a accesa baza de date Keystore. Ei folosesc detaliile din configurația ISO pentru a construi SPN atunci când solicită acces cu autentificarea Kerberos.

                                                                                                                                                  Cerințe de conectivitate externă

                                                                                                                                                  Configurați firewall-ul pentru a permite următoarea conectivitate pentru aplicațiile HDS:

                                                                                                                                                  Aplicație

                                                                                                                                                  Protocol

                                                                                                                                                  Port

                                                                                                                                                  Direcție din aplicație

                                                                                                                                                  Destinație

                                                                                                                                                  Noduri de securitate a datelor hibride

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire și WSS

                                                                                                                                                  • Servere Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • Alte URL-uri care sunt listate pentru securitatea datelor hibride în tabelul URL-uri suplimentare pentru serviciile hibride Webex al cerințelor rețelei pentru serviciile Webex

                                                                                                                                                  Instrument de configurare HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Nodurile de securitate a datelor hibride funcționează cu traducerea accesului la rețea (NAT) sau în spatele unui firewall, atâta timp cât NAT sau firewall permite conexiunile de ieșire necesare la destinațiile de domeniu din tabelul precedent. Pentru conexiunile care intră în nodurile de securitate a datelor hibride, niciun port nu trebuie să fie vizibil de pe internet. În cadrul centrului dvs. de date, clienții au nevoie de acces la nodurile de securitate a datelor hibride din porturile TCP 443 și 22, în scopuri administrative.

                                                                                                                                                  URL-urile gazdelor pentru identitatea comună (CI) sunt specifice regiunii. Acestea sunt gazdele actuale CI:

                                                                                                                                                  Regiune

                                                                                                                                                  URL-uri comune ale gazdei pentru identitate

                                                                                                                                                  Țările din America

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Uniunea Europeană

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Cerințe server proxy

                                                                                                                                                  • Sprijinim oficial următoarele soluții proxy care se pot integra cu nodurile dvs. de securitate a datelor hibride.

                                                                                                                                                  • Acceptăm următoarele combinații de tip autentificare pentru proxy-uri explicite:

                                                                                                                                                    • Nicio autentificare cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare de bază cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare Digest numai cu HTTPS

                                                                                                                                                  • Pentru un proxy de inspecție transparent sau un proxy explicit HTTPS, trebuie să aveți o copie a certificatului rădăcină al proxy-ului. Instrucțiunile de implementare din acest ghid vă spun cum să încărcați copia în magazinele de încredere ale nodurilor de securitate a datelor hibride.

                                                                                                                                                  • Rețeaua care găzduiește nodurile HDS trebuie să fie configurată pentru a forța traficul TCP de ieșire în portul 443 să se deplaseze prin proxy.

                                                                                                                                                  • Proxy-urile care inspectează traficul web pot interfera cu conexiunile socket-urilor web. Dacă apare această problemă, ocolirea (nu inspectarea) traficului la wbx2.com și ciscospark.com va rezolva problema.

                                                                                                                                                  Completați cerințele preliminare pentru securitatea datelor hibride

                                                                                                                                                  Utilizați această listă de verificare pentru a vă asigura că sunteți gata să instalați și să configurați clusterul de securitate a datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Asigurați-vă că organizația dvs. Webex este activată pentru pachetul Pro pentru Cisco Webex Control Hub și obțineți acreditările unui cont cu drepturi depline de administrator al organizației. Contactați-vă partenerul Cisco sau managerul de cont pentru ajutor în acest proces.

                                                                                                                                                  2

                                                                                                                                                  Alegeți un nume de domeniu pentru implementarea HDS (de exemplu, hds.company.com) și să obțină un lanț de certificate care conține un certificat X.509, cheie privată și orice certificate intermediare. Lanțul certificatului trebuie să îndeplinească cerințele din Cerințele de certificare X.509.

                                                                                                                                                  3

                                                                                                                                                  Pregătiți gazdele virtuale identice pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. Aveți nevoie de cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat, care îndeplinesc cerințele din Cerințele Gazdei Virtuale.

                                                                                                                                                  4

                                                                                                                                                  Pregătiți serverul bazei de date care va acționa ca un magazin de date cheie pentru cluster, în conformitate cu cerințele serverului bazei de date. Serverul bazei de date trebuie să fie plasat în centrul de date securizat cu gazdele virtuale.

                                                                                                                                                  1. Creați o bază de date pentru stocarea tastelor. (Trebuie să creați această bază de date—nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.)

                                                                                                                                                  2. Colectați detaliile pe care nodurile le vor utiliza pentru a comunica cu serverul bazei de date:

                                                                                                                                                    • numele gazdei sau adresa IP (gazda) și portul

                                                                                                                                                    • numele bazei de date (dbname) pentru stocarea cheilor

                                                                                                                                                    • numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură

                                                                                                                                                  5

                                                                                                                                                  Pentru recuperarea rapidă a dezastrelor, configurați un mediu de rezervă într-un alt centru de date. Mediul de rezervă reflectă mediul de producție al VMs și un server de baze de date de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs.

                                                                                                                                                  6

                                                                                                                                                  Configurați o gazdă syslog pentru a colecta jurnale de la nodurile din cluster. Aduna adresa de rețea și portul syslog (implicit este UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creați o politică de rezervă securizată pentru nodurile de securitate a datelor hibride, serverul bazei de date și gazda syslog. Cel puțin, pentru a preveni pierderea de date nerecuperabile, trebuie să salvați baza de date și fișierul ISO de configurare generat pentru nodurile de securitate a datelor hibride.


                                                                                                                                                   

                                                                                                                                                  Deoarece nodurile de securitate a datelor hibride stochează cheile utilizate în criptarea și decriptarea conținutului, nemenținerea unei implementări operaționale va duce la PIERDEREA NERECUPERABILĂ a conținutului respectiv.

                                                                                                                                                  Clienții Aplicației Webex își ascund cheile, astfel încât este posibil ca o întrerupere să nu fie vizibilă imediat, dar va deveni evidentă în timp. În timp ce ieșirile temporare sunt imposibil de prevenit, acestea sunt recuperabile. Cu toate acestea, pierderea completă (fără backup-uri disponibile) a bazei de date sau a fișierului ISO de configurare va duce la date client nerecuperabile. Operatorii nodurilor de securitate a datelor hibride se așteaptă să mențină backup-uri frecvente ale bazei de date și ale fișierului ISO de configurare și să fie pregătiți să reconstruiască centrul de date de securitate a datelor hibride în cazul în care apare un eșec catastrofal.

                                                                                                                                                  8

                                                                                                                                                  Asigurați-vă că configurația firewall-ului dvs. permite conectivitatea pentru nodurile dvs. de securitate a datelor hibride, astfel cum sunt prezentate în cerințele de conectivitate externă.

                                                                                                                                                  9

                                                                                                                                                  Instalați Docker ( https://www.docker.com) pe orice mașină locală care rulează un sistem de operare acceptat (Microsoft Windows 10 Professional sau Enterprise pe 64 de biți sau Mac OSX Yosemite 10.10.3 sau mai sus) cu un browser web care îl poate accesa la http://127.0.0.1:8080.

                                                                                                                                                  Utilizați instanța Docker pentru a descărca și rula Instrumentul de configurare HDS, care construiește informațiile de configurare locale pentru toate nodurile de securitate a datelor hibride. Este posibil ca organizația dvs. să aibă nevoie de o licență Docker Desktop. Consultați Cerințele Docker Desktop pentru mai multe informații.

                                                                                                                                                  Pentru a instala și rula Instrumentul de configurare HDS, utilajul local trebuie să aibă conectivitatea descrisă în Cerințele de conectivitate externă.

                                                                                                                                                  10

                                                                                                                                                  Dacă integrați un proxy cu securitatea datelor hibride, asigurați-vă că îndeplinește Cerințele serverului proxy.

                                                                                                                                                  11

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, creați un grup în Active Directory numit HdsTrialGroup, și adăugați utilizatori pilot. Grupul de încercare poate avea până la 250 de utilizatori. Fișierul HdsTrialGroup obiectul trebuie să fie sincronizat în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru a sincroniza un obiect de grup, selectați-l în Directory Connector Configurare > Meniu Selecție obiect. (Pentru instrucțiuni detaliate, consultați Ghidul de implementare pentru Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Atunci când selectați utilizatori pilot, rețineți că, dacă decideți să dezactivați definitiv implementarea securității datelor hibride, toți utilizatorii pierd accesul la conținut în spațiile create de utilizatorii pilot. Pierderea devine evidentă imediat ce aplicațiile utilizatorilor își reîmprospătează copiile cache ale conținutului.

                                                                                                                                                  Configurarea unui cluster de securitate a datelor hibride

                                                                                                                                                  Flux sarcină de implementare a securității datelor hibride

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  1

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  Descărcați fișierul OVA la utilajul local pentru utilizare ulterioară.

                                                                                                                                                  2

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Utilizați instrumentul de configurare HDS pentru a crea un fișier de configurare ISO pentru nodurile de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Creați o mașină virtuală din fișierul OVA și efectuați configurația inițială, cum ar fi setările de rețea.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  4

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Conectați-vă la consola VM și setați acreditările de conectare. Configurați setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  5

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Configurați VM din fișierul de configurare ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită configurare proxy, specificați tipul de proxy pe care îl veți utiliza pentru nod și adăugați certificatul proxy la magazinul de încredere, dacă este necesar.

                                                                                                                                                  7

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Înregistrați VM cu cloudul Cisco Webex ca nod de securitate a datelor hibrid.

                                                                                                                                                  8

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Finalizați configurarea clusterului.

                                                                                                                                                  9

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)

                                                                                                                                                  Până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  În această sarcină, descărcați un fișier OVA pe mașina dvs. (nu pe serverele pe care le-ați configurat ca noduri de securitate a datelor hibride). Utilizați acest fișier mai târziu în procesul de instalare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi faceți clic pe Servicii.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride, apoi faceți clic pe Configurare.

                                                                                                                                                  Dacă cardul este dezactivat sau nu îl vedeți, contactați echipa de cont sau organizația parteneră. Dați-le numărul contului dvs. și solicitați să activați organizația dvs. pentru securitatea datelor hibride. Pentru a găsi numărul contului, faceți clic pe dispozitivul din dreapta sus, lângă numele organizației dvs.


                                                                                                                                                   

                                                                                                                                                  De asemenea, puteți descărca OVA în orice moment din secțiunea Ajutor de pe pagina Setări . Pe cardul de securitate a datelor hibride, faceți clic pe Editare setări pentru a deschide pagina. Atunci, faceți clic pe Descărcați software-ul de securitate a datelor hibride în secțiunea Ajutor .


                                                                                                                                                   

                                                                                                                                                  Versiunile mai vechi ale pachetului software (OVA) nu vor fi compatibile cu cele mai recente upgrade-uri de securitate a datelor hibride. Acest lucru poate duce la probleme în timp ce actualizarea aplicației. Asigurați-vă că descărcați cea mai recentă versiune a fișierului OVA.

                                                                                                                                                  3

                                                                                                                                                  Selectați Nu pentru a indica faptul că nu ați configurat încă nodul, apoi faceți clic pe Înainte.

                                                                                                                                                  Fișierul OVA începe automat să se descarce. Salvați fișierul într-o locație de pe utilajul dvs.
                                                                                                                                                  4

                                                                                                                                                  Opțional, faceți clic pe Deschidere Ghid de implementare pentru a verifica dacă există o versiune ulterioară a acestui ghid disponibil.

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Procesul de configurare a securității datelor hibride creează un fișier ISO. Apoi utilizați ISO pentru a configura gazda dvs. de securitate a datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în pasul 5. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Fișierul de configurare ISO pe care îl generați conține cheia principală care criptează baza de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de cea mai recentă copie a acestui fișier oricând efectuați modificări de configurare, cum ar fi acestea:

                                                                                                                                                    • Informații bază de date

                                                                                                                                                    • Actualizări certificat

                                                                                                                                                    • Modificări ale politicii de autorizare

                                                                                                                                                  • Dacă intenționați să criptați conexiunile la baza de date, configurați implementarea PostgreSQL sau SQL Server pentru TLS.

                                                                                                                                                  1

                                                                                                                                                  În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2

                                                                                                                                                  Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  La solicitarea parolei, introduceți acest hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  • În mediile obișnuite fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile FedRAMP fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  Utilizați un browser web pentru a merge la gazda locală, http://127.0.0.1:8080, și introduceți numele de utilizator al administratorului clientului pentru Control Hub la prompt.

                                                                                                                                                  Instrumentul utilizează această primă intrare a numelui de utilizator pentru a seta mediul adecvat pentru acel cont. Instrumentul afișează apoi apelul standard de conectare.

                                                                                                                                                  7

                                                                                                                                                  Când vi se solicită, introduceți acreditările de conectare ale administratorului clientului Control Hub, apoi faceți clic pe Conectare pentru a permite accesul la serviciile necesare pentru securitatea datelor hibride.

                                                                                                                                                  8

                                                                                                                                                  Pe pagina de prezentare generală a instrumentului de configurare, faceți clic pe Get Started.

                                                                                                                                                  9

                                                                                                                                                  Pe pagina ISO Import aveți aceste opțiuni:

                                                                                                                                                  • Nu—Dacă creați primul nod HDS, nu aveți un fișier ISO pentru încărcare.
                                                                                                                                                  • Da—Dacă ați creat deja noduri HDS, apoi selectați fișierul ISO în navigare și încărcați-l.
                                                                                                                                                  10

                                                                                                                                                  Verificați dacă certificatul dvs. X.509 îndeplinește cerințele din Cerințele de certificare X.509.

                                                                                                                                                  • Dacă nu ați mai încărcat un certificat înainte, încărcați certificatul X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. este OK, faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. a expirat sau doriți să îl înlocuiți, selectați Nu pentru Continuare utilizând lanțul certificatului HDS și cheia privată din ISO anterior?. Încărcați un nou certificat X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  11

                                                                                                                                                  Introduceți adresa bazei de date și contul HDS pentru a accesa baza de date cu tastatură:

                                                                                                                                                  1. Selectați tipul bazei de date (PostgreSQL sau Microsoft SQL Server).

                                                                                                                                                    Dacă alegeți Microsoft SQL Server, primiți un câmp tip autentificare.

                                                                                                                                                  2. (Numai serverul Microsoft SQL) Selectați tipul dvs. de autentificare:

                                                                                                                                                    • Autentificare de bază: Aveți nevoie de un nume de cont SQL Server local în câmpul Nume de utilizator .

                                                                                                                                                    • Autentificare Windows: Aveți nevoie de un cont Windows în format username@DOMAIN în câmpul Nume utilizator .

                                                                                                                                                  3. Introduceți adresa serverului bazei de date în formular <hostname>:<port> sau <IP-address>:<port>.

                                                                                                                                                    Exemplu:
                                                                                                                                                    dbhost.example.org:1433 sau 198.51.100.17:1433

                                                                                                                                                    Puteți utiliza o adresă IP pentru autentificarea de bază, dacă nodurile nu pot utiliza DNS pentru a rezolva numele gazdei.

                                                                                                                                                    Dacă utilizați autentificarea Windows, trebuie să introduceți un nume de domeniu complet calificat în format dbhost.example.org:1433

                                                                                                                                                  4. Introduceți numele bazei de date.

                                                                                                                                                  5. Introduceți numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură.

                                                                                                                                                  12

                                                                                                                                                  Selectați un mod de conectare la baza de date TLS:

                                                                                                                                                  Mod

                                                                                                                                                  Descriere

                                                                                                                                                  Prefer TLS (opțiune prestabilită)

                                                                                                                                                  Nodurile HDS nu necesită TLS pentru a se conecta la server bază de date de date . Dacă activați TLS pe serverul bazei de date, nodurile încearcă o conexiune criptată.

                                                                                                                                                  Solicită TLS

                                                                                                                                                  Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului


                                                                                                                                                   

                                                                                                                                                  Acest mod nu se aplică bazelor de date SQL Server.

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului și numele gazdei

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  • Nodurile verifică, de asemenea, dacă numele gazdei din certificatul de server corespunde numelui gazdei din câmpul Gazdă bază de date și port . Numele trebuie să corespundă exact, sau nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Când încărcați certificatul rădăcină (dacă este necesar) și faceți clic pe Continuare, instrumentul de configurare HDS testează conexiunea TLS la serverul bazei de date. Instrumentul verifică, de asemenea, semnatarul certificatului și numele gazdei, dacă este cazul. Dacă un test eșuează, instrumentul afișează un mesaj de eroare care descrie problema. Puteți alege să ignorați eroarea și să continuați configurarea. (Din cauza diferențelor de conectivitate, nodurile HDS ar putea fi capabile să stabilească conexiunea TLS, chiar dacă utilajul Instrumentului de configurare HDS nu o poate testa cu succes.)

                                                                                                                                                  13

                                                                                                                                                  Pe pagina Jurnale de sistem, configurați serverul Syslogd:

                                                                                                                                                  1. Introduceți URL-ul serverului syslog.

                                                                                                                                                    Dacă serverul nu poate fi rezolvat prin DNS din nodurile clusterului dvs. HDS, utilizați o adresă IP în URL.

                                                                                                                                                    Exemplu:
                                                                                                                                                    udp://10.92.43.23:514 indică conectarea la gazda Syslogd 10.92.43.23 pe portul UDP 514.
                                                                                                                                                  2. Dacă configurați serverul pentru a utiliza criptarea TLS, verificați dacă este configurat serverul syslog pentru criptarea SSL?.

                                                                                                                                                    Dacă bifați această casetă de selectare, asigurați-vă că introduceți un URL TCP, cum ar fi tcp://10.92.43.23:514.

                                                                                                                                                  3. Din lista derulantă Choose syslog record termination , alegeți setarea potrivită pentru fișierul dvs. ISO: Alegerea sau linia nouă este utilizată pentru Graylog și Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Newline -- \n—Selectați această opțiune pentru Graylog și Rsyslog TCP.

                                                                                                                                                  4. Faceți clic pe Continuați.

                                                                                                                                                  14

                                                                                                                                                  (Opțional) Puteți modifica valoarea implicită a unor parametri de conexiune la baza de date în Setări avansate. În general, acest parametru este singurul pe care s-ar putea dori să-l modificați:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Faceți clic pe Continuare pe ecranul Resetare Conturi serviciu Parolă .

                                                                                                                                                  Parolele contului de serviciu au o durată de viață de nouă luni. Utilizați acest ecran atunci când parolele dvs. se apropie de expirare sau doriți să le resetați pentru a dezactiva fișierele ISO anterioare.

                                                                                                                                                  16

                                                                                                                                                  Faceți clic pe Descărcați fișierul ISO. Salvați fișierul într-o locație ușor de găsit.

                                                                                                                                                  17

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local.

                                                                                                                                                  Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  18

                                                                                                                                                  Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Backup fișierul ISO de configurare. Aveți nevoie de ea pentru a crea mai multe noduri pentru recuperare, sau pentru a face modificări de configurare. Dacă pierdeți toate copiile fișierului ISO, ați pierdut, de asemenea, cheia principală. Recuperarea tastelor din baza de date PostgreSQL sau Microsoft SQL Server nu este posibilă.


                                                                                                                                                   

                                                                                                                                                  Nu avem niciodată o copie a acestei chei și nu poate ajuta dacă îl pierzi.

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Utilizați această procedură pentru a crea o mașină virtuală din fișierul OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selectați Fișier > Implementați șablonul OVF.

                                                                                                                                                  3

                                                                                                                                                  În expert, specificați locația fișierului OVA pe care l-ați descărcat mai devreme, apoi faceți clic pe În continuare.

                                                                                                                                                  4

                                                                                                                                                  Pe Selectați un nume și un folder pagină , introduceți o Nume mașină virtuală pentru nod (de exemplu, „HDS_Node_1”), alegeți o locație în care se poate afla implementarea nodului mașinii virtuale, apoi faceți clic pe În continuare.

                                                                                                                                                  5

                                                                                                                                                  Pe Selectați o resursă de calcul pagină , alegeți resursa de calcul destinație, apoi faceți clic pe În continuare.

                                                                                                                                                  O verificare de validare se execută. După ce se termină, apar detaliile șablonului.

                                                                                                                                                  6

                                                                                                                                                  Verificați detaliile șablonului și apoi faceți clic pe Înainte.

                                                                                                                                                  7

                                                                                                                                                  Dacă vi se solicită să alegeți configurația de resurse de pe Configurare pagină , faceți clic pe 4 CPU apoi faceți clic pe În continuare.

                                                                                                                                                  8

                                                                                                                                                  Pe Selectați spațiul de stocare pagină , faceți clic pe În continuare pentru a accepta formatul implicit al discului și politica de stocare VM.

                                                                                                                                                  9

                                                                                                                                                  Pe Selectați rețelele pagină, alege opțiunea de rețea din lista de intrări pentru a oferi conexiunea dorită la VM.

                                                                                                                                                  10

                                                                                                                                                  Pe pagina Personalizați șablonul , configurați următoarele setări ale rețelei:

                                                                                                                                                  • Nume gazdă—Introduceți FQDN (nume de gazdă și domeniu) sau un singur cuvânt nume de gazdă pentru nod.

                                                                                                                                                     
                                                                                                                                                    • Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                    • Pentru a vă asigura că vă înregistrați cu succes în cloud, utilizați numai caractere din FQDN sau numele gazdei pe care le-ați setat pentru nod. Capitalizarea nu este acceptată în acest moment.

                                                                                                                                                    • Lungimea totală a FQDN nu trebuie să depășească 64 de caractere.

                                                                                                                                                  • Adresă IP— Introduceți adresa IP pentru interfața internă a nodului.

                                                                                                                                                     

                                                                                                                                                    Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  • Mască—Introduceți adresa măștii subnet în notația punct-zecimală. De exemplu, 255.255.255.0.
                                                                                                                                                  • Gateway—Introduceți adresa IP a gateway-ului. Un gateway este un nod de rețea care servește ca punct de acces la o altă rețea.
                                                                                                                                                  • Servere DNS—Introduceți o listă de servere DNS separate prin virgulă, care se ocupă cu traducerea numelor de domenii către adrese IP numerice. (Sunt permise până la 4 intrări DNS.)
                                                                                                                                                  • Servere NTP—Introduceți serverul NTP al organizației dvs. sau un alt server NTP extern care poate fi utilizat în organizația dvs. Serverele NTP implicite nu pot funcționa pentru toate întreprinderile. De asemenea, puteți utiliza o listă separată prin virgulă pentru a introduce mai multe servere NTP.
                                                                                                                                                  • Implementați toate nodurile din aceeași subrețea sau VLAN, astfel încât toate nodurile dintr-un cluster să poată fi accesate de clienții din rețeaua dvs. în scopuri administrative.

                                                                                                                                                  Dacă preferați, puteți sări peste configurația de setare a rețelei și puteți urma pașii din Configurați VM-ul de securitate a datelor hibride pentru a configura setările din consola nodului.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  11

                                                                                                                                                  Faceți clic dreapta pe nodul VM, apoi alegeți Alimentare > Pornire.

                                                                                                                                                  Software-ul de securitate a datelor hibride este instalat ca invitat pe Gazda VM. Acum sunteți gata să vă conectați la consolă și să configurați nodul.

                                                                                                                                                  Sfaturi pentru depanare

                                                                                                                                                  Este posibil să aveți o întârziere de câteva minute înainte de apariția containerelor de nod. Un mesaj de firewall de legătură apare pe consolă în timpul primei boot-ări, în timpul căreia nu vă puteți conecta.

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a vă conecta pentru prima dată la consola VM a nodului de securitate a datelor hibride și pentru a seta acreditările de conectare. De asemenea, puteți utiliza consola pentru a configura setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  1

                                                                                                                                                  În clientul VMware vSphere, selectați nodul de securitate a datelor hibride VM și selectați fila Console .

                                                                                                                                                  VM pornește în sus și apare un prompt de conectare. Dacă mesajul de conectare nu se afișează, apăsați Enter.
                                                                                                                                                  2

                                                                                                                                                  Utilizați următoarea conectare implicită și parola pentru a vă conecta și a modifica datele de autentificare:

                                                                                                                                                  1. Conectare: admin

                                                                                                                                                  2. Parolă: cisco

                                                                                                                                                  Deoarece vă conectați pentru prima dată la VM, trebuie să schimbați parola de administrator.

                                                                                                                                                  3

                                                                                                                                                  Dacă ați configurat deja setările de rețea în Instalați gazda HDS OVA, omiteți restul acestei proceduri. În caz contrar, în meniul principal, selectați opțiunea Editare configurație .

                                                                                                                                                  4

                                                                                                                                                  Configurați o configurație statică cu adresă IP, Mască, Gateway și informații DNS. Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  5

                                                                                                                                                  (Opțional) Modificați numele gazdei, domeniul sau serverul (serverele) NTP, dacă este necesar pentru a se potrivi cu politica de rețea.

                                                                                                                                                  Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvați configurația de rețea și reporniți VM, astfel încât modificările să aibă efect.

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Utilizați această procedură pentru a configura mașina virtuală din fișierul ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Deoarece fișierul ISO deține cheia principală, acesta ar trebui să fie expus numai pe o bază „trebuie să știe”, pentru a fi accesat de către VM-urile de securitate a datelor hibride și de orice administratori care ar putea avea nevoie să facă modificări. Asigurați-vă că numai acei administratori pot accesa stația de date.

                                                                                                                                                  1

                                                                                                                                                  Încărcați fișierul ISO de pe computer:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, faceţi clic pe serverul ESXi.

                                                                                                                                                  2. În lista Hardware a filei de configurare, faceți clic pe Storage (Depozitare).

                                                                                                                                                  3. În lista Datastores, faceți clic dreapta pe bara de date pentru VMs și faceți clic pe Browse Datastore.

                                                                                                                                                  4. Faceți clic pe pictograma Încărcare fișiere, apoi faceți clic pe Încărcare fișier.

                                                                                                                                                  5. Navigați la locația în care ați descărcat fișierul ISO pe computer și faceți clic pe Deschidere.

                                                                                                                                                  6. Faceți clic pe Da pentru a accepta avertismentul operațiunii de încărcare/descărcare și închideți dialogul cu stația de date.

                                                                                                                                                  2

                                                                                                                                                  Montați fișierul ISO:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  2. Faceți clic pe OK pentru a accepta avertismentul privind opțiunile de editare restricționate.

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO datastore și navigați la locația în care ați încărcat fișierul ISO de configurare.

                                                                                                                                                  4. Verificați Conectat și Conectat la putere.

                                                                                                                                                  5. Salvați modificările și reporniți mașina virtuală.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Dacă politica dvs. IT necesită, puteți dezinstala opțional fișierul ISO după ce toate nodurile dvs. preiau modificările de configurare. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită un proxy, utilizați această procedură pentru a specifica tipul de proxy pe care doriți să îl integrați cu securitatea datelor hibride. Dacă alegeți un proxy de inspecție transparent sau un proxy explicit HTTPS, puteți utiliza interfața nodului pentru a încărca și instala certificatul rădăcină. De asemenea, puteți verifica conexiunea proxy din interfață și puteți rezolva orice probleme potențiale.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  1

                                                                                                                                                  Introduceți URL-ul de configurare a nodului HDS https://[HDS Node IP or FQDN]/setup într-un browser web, introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Trust Store & Proxy, apoi alegeți o opțiune:

                                                                                                                                                  • Nu există proxy—Opțiunea implicită înainte de a integra un proxy. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Proxy transparent fără inspecție- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Inspecție transparentă proxy- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTPS la implementarea securității datelor hibride, cu toate acestea, nodurile HDS au nevoie de un certificat rădăcină pentru a avea încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).
                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți clientului (noduri HDS) ce server proxy să utilizeze, iar această opțiune acceptă mai multe tipuri de autentificare. După ce alegeți această opțiune, trebuie să introduceți următoarele informații:
                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—Alegeți http (vizualizează și controlează toate solicitările primite de la client) sau https (oferă un canal serverului, iar clientul primește și validează certificatul serverului). Alegeți o opțiune pe baza a ceea ce acceptă serverul proxy.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai pentru proxy-uri HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                  Urmați pașii următori pentru un proxy de inspecție transparent, un proxy explicit HTTP cu autentificare de bază sau un proxy explicit HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Faceți clic pe Încărcați un certificat rădăcină sau un certificat de entitate finalizată, apoi navigați la o alegere a certificatului rădăcină pentru proxy.

                                                                                                                                                  Certificatul este încărcat, dar nu este încă instalat, deoarece trebuie să reporniți nodul pentru a instala certificatul. Faceți clic pe săgeata chevron după numele emitentului certificatului pentru a obține mai multe detalii sau faceți clic pe Ștergere dacă ați făcut o greșeală și doriți să reîncărcați fișierul.

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy pentru a testa conectivitatea la rețea între nod și proxy.

                                                                                                                                                  Dacă testul conexiunii eșuează, veți vedea un mesaj de eroare care arată motivul și modul în care puteți corecta problema.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a reușit, nodul nu a putut ajunge la serverul DNS. Această condiție este de așteptat în multe configurații proxy explicite. Puteți continua cu configurarea, iar nodul va funcționa în modul de Rezoluție DNS Externă Blocată. Dacă credeți că aceasta este o eroare, completați acești pași și apoi consultați Dezactivarea modului de rezoluție DNS extern blocat.

                                                                                                                                                  5

                                                                                                                                                  După ce testul conexiunii trece, pentru proxy explicit setat numai la https, activați comutatorul pentru a Ruta toate solicitările de port 443/444 https din acest nod prin proxy explicit. Această setare necesită 15 secunde pentru a intra în vigoare.

                                                                                                                                                  6

                                                                                                                                                  Faceți clic pe Instalare toate certificatele în magazinul de încredere (apare pentru un proxy explicit HTTPS sau un proxy de inspecție transparent) sau Reporniți (apare pentru un proxy explicit HTTP), citiți mesajul și apoi faceți clic pe Instalare dacă sunteți pregătit.

                                                                                                                                                  Nodul repornește în câteva minute.

                                                                                                                                                  7

                                                                                                                                                  După repornirea nodului, conectați-vă din nou dacă este necesar, apoi deschideți pagina Prezentare generală pentru a verifica verificările de conectivitate pentru a vă asigura că toate sunt în stare verde.

                                                                                                                                                  Verificarea conexiunii proxy testează numai un subdomeniu al webex.com. Dacă există probleme de conectivitate, o problemă comună este că unele dintre domeniile cloud enumerate în instrucțiunile de instalare sunt blocate la proxy.

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Această sarcină preia nodul generic pe care l-ați creat în Configurarea VM-ului de securitate a datelor hibride, înregistrează nodul cu cloudul Webex și îl transformă într-un nod de securitate a datelor hibride.

                                                                                                                                                  Când vă înregistrați primul nod, creați un cluster căruia i se atribuie nodul. Un cluster conține unul sau mai multe noduri implementate pentru a oferi redundanță.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Din meniul din partea stângă a ecranului, selectați Servicii.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Configurare.

                                                                                                                                                  Apare pagina Nod de securitate a datelor hibride de înregistrare.
                                                                                                                                                  4

                                                                                                                                                  Selectați Da pentru a indica faptul că ați configurat nodul și sunteți gata să îl înregistrați, apoi faceți clic pe Înainte.

                                                                                                                                                  5

                                                                                                                                                  În primul câmp, introduceți un nume pentru clusterul la care doriți să alocați nodul dvs. de securitate a datelor hibride.

                                                                                                                                                  Vă recomandăm să denumiți un cluster bazat pe locul în care nodurile clusterului sunt localizate geografic. Exemple: "San Francisco" sau "New York" sau "Dallas"

                                                                                                                                                  6

                                                                                                                                                  În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                  Această adresă IP sau FQDN trebuie să corespundă adresei IP sau numelui gazdei și domeniului pe care l-ați utilizat în Configurarea VM-ului de securitate a datelor hibride.

                                                                                                                                                  Apare un mesaj care indică faptul că vă puteți înregistra nodul la Webex.
                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Du-te la Nod.

                                                                                                                                                  8

                                                                                                                                                  Faceți clic pe Continuare în mesajul de avertizare.

                                                                                                                                                  După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. Webex pentru a accesa nodul dvs.
                                                                                                                                                  9

                                                                                                                                                  Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                  Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  10

                                                                                                                                                  Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Pe pagina Securitate datelor hibride, este afișat noul cluster care conține nodul pe care l-ați înregistrat. Nodul va descărca automat cel mai recent software din cloud.

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Pentru a adăuga noduri suplimentare în cluster, creați pur și simplu VMs suplimentare și montați același fișier ISO de configurare, apoi înregistrați nodul. Vă recomandăm să aveți cel puțin 3 noduri.

                                                                                                                                                   

                                                                                                                                                  În acest moment, VMs de rezervă pe care le-ați creat în Completați Condițiile prealabile pentru securitatea datelor hibride sunt gazde standby care sunt utilizate numai în caz de recuperare a dezastrelor; acestea nu sunt înregistrate la sistem până atunci. Pentru detalii, consultați Recuperarea dezastrelor utilizând Centrul de date standby.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creați o nouă mașină virtuală din OVA, repetând pașii din Instalați gazda HDS OVA.

                                                                                                                                                  2

                                                                                                                                                  Configurați configurația inițială pe noul VM, repetând pașii din Configurați VM-ul de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe noul VM, repetați pașii din Încărcați și montați ISO de configurare HDS.

                                                                                                                                                  4

                                                                                                                                                  Dacă configurați un proxy pentru implementarea dvs., repetați pașii din Configurați nodul HDS pentru Integrare proxy după cum este necesar pentru noul nod.

                                                                                                                                                  5

                                                                                                                                                  Înregistrați nodul.

                                                                                                                                                  1. În https://admin.webex.com, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2. În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride și faceți clic pe Resurse.

                                                                                                                                                    Apare pagina Resurse de securitate a datelor hibride.
                                                                                                                                                  3. Faceți clic pe Adăugare resursă.

                                                                                                                                                  4. În primul câmp, selectați numele clusterului existent.

                                                                                                                                                  5. În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                    Apare un mesaj care indică faptul că vă puteți înregistra nodul în cloudul Webex.
                                                                                                                                                  6. Faceți clic pe Du-te la Nod.

                                                                                                                                                    După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. pentru a accesa nodul dvs.
                                                                                                                                                  7. Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                    Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  8. Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Nodul dvs. este înregistrat. Rețineți că până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)
                                                                                                                                                  Efectuați un proces și mutați-vă la producție

                                                                                                                                                  Încercare la fluxul sarcinilor de producție

                                                                                                                                                  După ce ați configurat un cluster de securitate a datelor hibride, puteți iniția un pilot, puteți adăuga utilizatori la acesta și puteți începe să îl utilizați pentru testarea și verificarea implementării dvs. în vederea trecerii la producție.

                                                                                                                                                  1

                                                                                                                                                  Dacă este cazul, sincronizați HdsTrialGroup obiect de grup.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea începe o încercare. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Activați procesul

                                                                                                                                                  Începeți o încercare. Până când nu efectuați această sarcină, nodurile dvs. generează o alarmă care indică faptul că serviciul nu este încă activat.

                                                                                                                                                  3

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Verificați dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  4

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Verificați starea și configurați notificările prin e-mail pentru alarme.

                                                                                                                                                  5

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  6

                                                                                                                                                  Finalizați faza de probă cu una dintre următoarele acțiuni:

                                                                                                                                                  Activați procesul

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Inițiere încercare.

                                                                                                                                                  Starea serviciului se modifică în modul de încercare.
                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Adăugare utilizatori și introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a pilot utilizând nodurile dvs. de securitate a datelor hibride pentru serviciile de criptare și indexare.

                                                                                                                                                  (Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory pentru a gestiona grupul de încercare, HdsTrialGroup.)

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a testa scenariile de criptare a securității datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Configurați implementarea securității datelor hibride.

                                                                                                                                                  • Activați procesul și adăugați mai mulți utilizatori de proces.

                                                                                                                                                  • Asigurați-vă că aveți acces la syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Conectați-vă la Aplicația Webex ca unul dintre utilizatorii pilot, apoi creați un spațiu și invitați cel puțin un utilizator pilot și un utilizator non-pilot.


                                                                                                                                                   

                                                                                                                                                  Dacă dezactivați implementarea securității datelor hibride, conținutul din spațiile pe care utilizatorii pilot le creează nu mai este accesibil după ce copiile în cache ale cheilor de criptare sunt înlocuite.

                                                                                                                                                  2

                                                                                                                                                  Trimiteți mesaje către noul spațiu.

                                                                                                                                                  3

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1. Pentru a verifica dacă un utilizator stabilește mai întâi un canal securizat la KMS, filtrați pe kms.data.method=create și kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Ar trebui să găsiți o intrare, cum ar fi următoarele (identificatori scurtați pentru lizibilitate):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Pentru a verifica dacă un utilizator solicită o cheie existentă din KMS, filtrați pe kms.data.method=retrieve și kms.data.type=KEY:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Pentru a verifica dacă un utilizator solicită crearea unei noi chei KMS, filtrați pe kms.data.method=create și kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Pentru a verifica dacă un utilizator solicită crearea unui nou obiect de resurse KMS (KRO) atunci când este creat un spațiu sau o altă resursă protejată, filtrați pe kms.data.method=create și kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Un indicator de stare din Control Hub vă arată dacă totul este bine cu implementarea securității datelor hibride. Pentru o alertare mai proactivă, înscrieți-vă pentru notificări prin e-mail. Veți fi notificat atunci când există alarme sau upgrade-uri de software care afectează serviciul.
                                                                                                                                                  1

                                                                                                                                                  În Control Hub, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Setări.

                                                                                                                                                  Apare pagina Setări securitate date hibride.
                                                                                                                                                  3

                                                                                                                                                  În secțiunea Notificări prin e-mail, tastați una sau mai multe adrese de e-mail separate prin virgule și apăsați Enter.

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  După ce ați activat un trial și ați adăugat setul inițial de utilizatori de trial, puteți adăuga sau elimina membri de trial în orice moment în timp ce procesul este activ.

                                                                                                                                                  Dacă eliminați un utilizator din trial, clientul utilizatorului va solicita chei și crearea de taste din KMS cloud în loc de KMS dvs. Dacă clientul are nevoie de o cheie stocată pe KMS-ul dvs., KMS-ul cloud o va prelua în numele utilizatorului.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory (în loc de această procedură) pentru a gestiona grupul de încercare, HdsTrialGroup; puteți vizualiza membrii grupului din Control Hub, dar nu îi puteți adăuga sau elimina.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Modul de încercare din zona de stare a serviciului, faceți clic pe Adăugare utilizatori sau faceți clic pe vizualizare și editare pentru a elimina utilizatorii din trial.

                                                                                                                                                  4

                                                                                                                                                  Introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a adăuga sau faceți clic pe X de către un ID de utilizator pentru a elimina utilizatorul din încercare. Apoi faceți clic Salvați .

                                                                                                                                                  Mutați de la încercare la producție

                                                                                                                                                  Când sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare, puteți trece la producție. Când treceți la producție, toți utilizatorii din organizație vor utiliza domeniul dvs. local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Nu puteți reveni la modul de încercare din producție decât dacă dezactivați serviciul ca parte a recuperării dezastrelor. Reactivarea serviciului vă cere să configurați o nouă încercare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Mutare în producție.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să mutați toți utilizatorii la producție.

                                                                                                                                                  Încheiați procesul fără a trece la producție

                                                                                                                                                  Dacă, în timpul perioadei de probă, decideți să nu continuați cu implementarea securității datelor hibride, puteți dezactiva securitatea datelor hibride, care încheie perioada de probă și mută utilizatorii de încercare înapoi la serviciile de securitate a datelor în cloud. Utilizatorii procesului vor pierde accesul la datele care au fost criptate în timpul procesului.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Dezactivare, faceți clic pe Dezactivare.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să dezactivați serviciul și să finalizați procesul.

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Utilizați sarcinile descrise aici pentru a gestiona implementarea securității datelor hibride.

                                                                                                                                                  Setați programul de upgrade al clusterului

                                                                                                                                                  Upgrade-urile de software pentru securitatea datelor hibride se fac automat la nivelul clusterului, ceea ce asigură că toate nodurile rulează întotdeauna aceeași versiune de software. Upgrade-urile se efectuează în conformitate cu programul de upgrade pentru cluster. Când un upgrade de software devine disponibil, aveți opțiunea de a actualiza manual clusterul înainte de ora programată de upgrade. Puteți seta un program specific de upgrade sau puteți utiliza programul implicit de 3:00 AM Daily Statele Unite ale Americii: America/Los Angeles. De asemenea, puteți alege să amânați un upgrade viitor, dacă este necesar.

                                                                                                                                                  Pentru a seta programul de upgrade:

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub .

                                                                                                                                                  2

                                                                                                                                                  Pe pagina Prezentare generală, în secțiunea Servicii hibride, selectați Securitatea datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Resurse de securitate a datelor hibride, selectați clusterul.

                                                                                                                                                  4

                                                                                                                                                  În panoul Prezentare generală din dreapta, în secțiunea Setări cluster, selectați numele clusterului.

                                                                                                                                                  5

                                                                                                                                                  Pe pagina Setări, în secțiunea Upgrade, selectați ora și fusul orar pentru programul de upgrade.

                                                                                                                                                  Notă: În cadrul fusului orar, se afișează următoarea dată și oră de upgrade disponibile. Puteți amâna upgrade-ul până în ziua următoare, dacă este necesar, făcând clic pe Amânare.

                                                                                                                                                  Modificarea configurației nodului

                                                                                                                                                  Ocazional, poate fi necesar să modificați configurația nodului Hybrid Data Security dintr-un motiv precum:
                                                                                                                                                  • Modificarea certificatelor x.509 din cauza expirării sau din alte motive.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm schimbarea nume domeniu CN al unui certificat. Domeniul trebuie să corespundă domeniului inițial utilizat pentru înregistrarea clusterului.

                                                                                                                                                  • Actualizarea setărilor bazei de date pentru a trece la o replică a bazei de date PostgreSQL sau Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm migrarea datelor de la PostgreSQL la Microsoft SQL Server sau invers. Pentru a comuta mediul bazei de date, începeți o nouă implementare a Hybrid Data Security.

                                                                                                                                                  • Crearea unei noi configurații pentru pregătirea unui nou centru de date.

                                                                                                                                                  De asemenea, din motive de securitate, Hybrid Data Security utilizează parole ale cont al serviciului care au o durată de viață de nouă luni. După ce instrumentul de configurare HDS generează aceste parole, le implementați în fiecare dintre nodurile HDS din fișierul de configurare ISO . Când parolele organizației dvs. se apropie de expirare, primiți o notificare de la echipa Webex prin care vă rugăm să resetați parola pentru contul computerului dvs. (E-mailul include textul „Utilizați API -ul contului de computer pentru a actualiza parola.”) Dacă parolele nu au expirat încă, instrumentul vă oferă două opțiuni:

                                                                                                                                                  • Resetare soft —Parolele vechi și noi sunt valabile până la 10 zile. Utilizați această perioadă pentru a înlocui treptat fișierul ISO pe noduri.

                                                                                                                                                  • Resetare hardware — Parolele vechi nu mai funcționează imediat.

                                                                                                                                                  Dacă parolele expiră fără resetare, acest lucru afectează serviciul HDS, necesitând o resetare hardware imediată și înlocuirea fișierului ISO pe toate nodurile.

                                                                                                                                                  Utilizați această procedură pentru a genera un nou fișier ISO de configurare și a-l aplica clusterului dvs.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în 1.e. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Aveți nevoie de o copie a fișierului ISO de configurare curentă pentru a genera o nouă configurație. ISO conține cheia principală de criptare a bazei de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de ISO când efectuați modificări de configurare, inclusiv date de autentificare în baza de date, actualizări de certificate sau modificări ale politicii de autorizare.

                                                                                                                                                  1

                                                                                                                                                  Utilizând Docker pe un computer local, rulați Instrumentul de configurare HDS.

                                                                                                                                                  1. În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2. Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. La solicitarea parolei, introduceți acest hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Asigurați-vă că ați extras cel mai recent instrument de configurare pentru această procedură. Versiunile instrumentului create înainte de 22 februarie 2018 nu au ecrane de resetare a parolei.

                                                                                                                                                  5. Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    • În mediile obișnuite fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În medii obișnuite cu un HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile FedRAMP fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6. Utilizați un browser pentru a vă conecta la localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  7. Când vi se solicită, introduceți datele de conectare pentru client Control Hub și apoi faceți clic Acceptați pentru a continua.

                                                                                                                                                  8. Importați fișierul ISO de configurație curentă.

                                                                                                                                                  9. Urmați instrucțiunile pentru a finaliza instrumentul și descărcați fișierul actualizat.

                                                                                                                                                    Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  10. Creați o copie de rezervă a fișierului actualizat într-un alt centru de date.

                                                                                                                                                  2

                                                                                                                                                  Dacă aveți un singur nod HDS care rulează , creați un nou VM nod Hybrid Data Security și înregistrați-l utilizând noul fișier ISO de configurare. Pentru instrucțiuni mai detaliate, consultați Creați și înregistrați mai multe noduri.

                                                                                                                                                  1. Instalați OVA gazdă HDS.

                                                                                                                                                  2. Configurați VM HDS .

                                                                                                                                                  3. Montați fișier de configurare actualizat .

                                                                                                                                                  4. Înregistrați noul nod în Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pentru nodurile HDS existente care rulează fișierul de fișier de configurare mai vechi , montați fișierul ISO . Efectuați următoarea procedură pe fiecare nod pe rând, actualizând fiecare nod înainte de a opri următorul nod:

                                                                                                                                                  1. Opriți mașină virtuală.

                                                                                                                                                  2. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO și navigați până la locația de unde ați descărcat noul fișier ISO de configurare.

                                                                                                                                                  4. Verificați Conectați la pornire .

                                                                                                                                                  5. Salvați modificările și porniți mașină virtuală.

                                                                                                                                                  4

                                                                                                                                                  Repetați pasul 3 pentru a înlocui configurația pe fiecare nod rămas care rulează configurația veche.

                                                                                                                                                  Dezactivați Modul De Rezoluție DNS Externă Blocat

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. Dacă serverul DNS al nodului nu poate rezolva numele DNS publice, nodul intră automat în modul de Rezoluție DNS Externă Blocată.

                                                                                                                                                  Dacă nodurile dvs. sunt capabile să rezolve numele DNS publice prin intermediul serverelor DNS interne, puteți dezactiva acest mod prin reactivarea testului de conexiune proxy pe fiecare nod.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Asigurați-vă că serverele DNS interne pot rezolva numele DNS publice și că nodurile dvs. pot comunica cu acestea.
                                                                                                                                                  1

                                                                                                                                                  Într-un browser web, deschideți interfața nodului de securitate a datelor hibride (adresă IP/configurare, de exemplu, https://192.0.2.0/setup), introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Prezentare generală (pagina implicită).

                                                                                                                                                  Când este activat, Rezoluție DNS externă blocată este setat la Da .

                                                                                                                                                  3

                                                                                                                                                  Accesați pagina Trust Store & Proxy .

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a avut succes, nodul nu a putut ajunge la serverul DNS și va rămâne în acest mod. În caz contrar, după ce reporniți nodul și reveniți la pagina Prezentare generală , Rezoluția DNS externă blocată trebuie setată la nr.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Repetați testul conexiunii proxy pe fiecare nod din clusterul de securitate a datelor hibride.

                                                                                                                                                  Eliminați un nod

                                                                                                                                                  Utilizați această procedură pentru a elimina un nod de securitate a datelor hibride din cloudul Webex. După ce eliminați nodul din cluster, ștergeți mașina virtuală pentru a preveni accesul suplimentar la datele dvs. de securitate.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi și pentru a dezactiva mașina virtuală.

                                                                                                                                                  2

                                                                                                                                                  Eliminați nodul:

                                                                                                                                                  1. Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2. Pe cardul de securitate a datelor hibride, faceți clic pe Vizualizare toate pentru a afișa pagina Resurse de securitate a datelor hibride.

                                                                                                                                                  3. Selectați clusterul pentru a afișa panoul de Prezentare generală.

                                                                                                                                                  4. Faceți clic pe lista de noduri deschise.

                                                                                                                                                  5. În fila Noduri, selectați nodul pe care doriți să îl eliminați.

                                                                                                                                                  6. Faceți clic pe Acțiuni > Deregister node.

                                                                                                                                                  3

                                                                                                                                                  În clientul vSphere, ștergeți VM. (În panoul de navigare din stânga, faceți clic dreapta pe VM și faceți clic pe Ștergere.)

                                                                                                                                                  Dacă nu ștergeți VM, nu uitați să dezasamblați fișierul de configurare ISO. Fără fișierul ISO, nu puteți utiliza VM pentru a accesa datele de securitate.

                                                                                                                                                  Recuperare dezastre utilizând Centrul de date standby

                                                                                                                                                  Cel mai important serviciu pe care îl oferă clusterul de securitate a datelor hibride este crearea și stocarea de taste utilizate pentru criptarea mesajelor și a altor conținuturi stocate în cloudul Webex. Pentru fiecare utilizator din cadrul organizației care este atribuit securității datelor hibride, noile solicitări de creare a cheii sunt direcționate către cluster. Clusterul este, de asemenea, responsabil pentru returnarea cheilor pe care le-a creat oricărui utilizator autorizat să le recupereze, de exemplu, membrii unui spațiu de conversație.

                                                                                                                                                  Deoarece clusterul îndeplinește funcția critică de furnizare a acestor chei, este imperativ ca clusterul să rămână în funcțiune și să fie menținute backup-uri corespunzătoare. Pierderea bazei de date Hybrid Data Security sau a configurației ISO utilizate pentru schemă va duce la PIERDEREA INRECUPERABILĂ a conținutului clientului. Următoarele practici sunt obligatorii pentru a preveni o astfel de pierdere:

                                                                                                                                                  Dacă un dezastru face ca implementarea HDS în centrul de date principal să devină indisponibilă, urmați această procedură pentru a eșua manual la centrul de date standby.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos sau eliminați passiveMode configurare pentru a activa nodul. Nodul poate gestiona traficul odată ce acesta este configurat.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă nodurile centrului de date standby nu sunt în mod pasiv. „KMS configurat în mod pasiv” nu trebuie să apară în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După eșec, dacă centrul principal de date devine din nou activ, plasați centrul de date în așteptare în modul pasiv, urmând pașii descriși în Configurarea centrului de date în așteptare pentru recuperarea dezastrelor.

                                                                                                                                                  (Opțional) Dezasamblare ISO După configurarea HDS

                                                                                                                                                  Configurația standard HDS rulează cu ISO montat. Dar, unii clienți preferă să nu lase fișierele ISO montate în mod continuu. Puteți demonta fișierul ISO după ce toate nodurile HDS preiau noua configurație.

                                                                                                                                                  Utilizați în continuare fișierele ISO pentru a face modificări de configurare. Când creați un nou ISO sau actualizați un ISO prin Instrumentul de configurare, trebuie să montați ISO actualizat pe toate nodurile HDS. După ce toate nodurile dvs. au preluat modificările de configurare, puteți demonta din nou ISO cu această procedură.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Actualizați toate nodurile HDS la versiunea 2021.01.22.4720 sau o versiune ulterioară.

                                                                                                                                                  1

                                                                                                                                                  Închideți unul dintre nodurile HDS.

                                                                                                                                                  2

                                                                                                                                                  În dispozitivul server vCenter, selectați nodul HDS.

                                                                                                                                                  3

                                                                                                                                                  Alegeți Editați setările > CD/DVD drive și debifați fișierul ISO Datastore.

                                                                                                                                                  4

                                                                                                                                                  Alimentați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 20 de minute.

                                                                                                                                                  5

                                                                                                                                                  Repetați pentru fiecare nod HDS la rândul său.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Vizualizare alerte și depanare

                                                                                                                                                  O implementare a securității datelor hibride este considerată indisponibilă dacă toate nodurile din cluster sunt inaccesibile sau clusterul funcționează atât de lent încât solicită timp de excludere. Dacă utilizatorii nu pot ajunge la clusterul dvs. de securitate a datelor hibride, aceștia experimentează următoarele simptome:

                                                                                                                                                  • Nu se pot crea spații noi (nu se pot crea chei noi)

                                                                                                                                                  • Mesajele și titlurile spațiului nu pot fi decriptate pentru:

                                                                                                                                                    • Utilizatori noi adăugați într-un spațiu (nu se pot prelua tastele)

                                                                                                                                                    • Utilizatorii existenți dintr-un spațiu care utilizează un client nou (nu pot prelua tastele)

                                                                                                                                                  • Utilizatorii existenți într-un spațiu vor continua să ruleze cu succes atâta timp cât clienții lor au un cache al cheilor de criptare

                                                                                                                                                  Este important să monitorizați în mod corespunzător clusterul de securitate a datelor hibride și să adresați imediat orice alerte pentru a evita perturbarea serviciului.

                                                                                                                                                  Alerte

                                                                                                                                                  Dacă există o problemă cu configurarea securității datelor hibride, Control Hub afișează alerte administratorului organizației și trimite e-mailuri la adresa de e-mail configurată. Alertele acoperă multe scenarii comune.

                                                                                                                                                  Tabelul 1. Probleme comune și pașii pentru a le rezolva

                                                                                                                                                  Alertă

                                                                                                                                                  Acțiune

                                                                                                                                                  Eșecul accesului la baza de date locală.

                                                                                                                                                  Verificați erorile bazei de date sau problemele de rețea locale.

                                                                                                                                                  Eșecul conexiunii la baza de date locală.

                                                                                                                                                  Verificați dacă serverul bazei de date este disponibil, iar acreditările contului de serviciu corespunzător au fost utilizate în configurația nodului.

                                                                                                                                                  Eșecul accesului la servicii în cloud.

                                                                                                                                                  Verificați dacă nodurile pot accesa serverele Webex astfel cum sunt specificate în cerințele de conectivitate externă.

                                                                                                                                                  Reînnoirea înregistrării serviciului în cloud.

                                                                                                                                                  S-a renunțat la înscrierea în serviciile cloud. Reînnoirea înregistrării este în curs.

                                                                                                                                                  Înscrierea în serviciul Cloud a scăzut.

                                                                                                                                                  Înscrierea la serviciile cloud s-a încheiat. Serviciul se închide.

                                                                                                                                                  Serviciul nu este încă activat.

                                                                                                                                                  Activați un proces sau finalizați mutarea procesului la producție.

                                                                                                                                                  Domeniul configurat nu corespunde certificatului serverului.

                                                                                                                                                  Asigurați-vă că certificatul serverului dvs. corespunde domeniului de activare a serviciului configurat.

                                                                                                                                                  Cauza cea mai probabilă este că certificatul CN a fost modificat recent și este acum diferit de CN care a fost utilizat în timpul configurării inițiale.

                                                                                                                                                  Nu s-a reușit autentificarea la serviciile cloud.

                                                                                                                                                  Verificați acuratețea și posibila expirare a acreditărilor contului de serviciu.

                                                                                                                                                  Nu s-a reușit deschiderea fișierului local de keystore.

                                                                                                                                                  Verificați integritatea și precizia parolei în fișierul de keystore local.

                                                                                                                                                  Certificatul serverului local este nevalid.

                                                                                                                                                  Verificați data de expirare a certificatului serverului și confirmați că acesta a fost eliberat de o autoritate de certificare de încredere.

                                                                                                                                                  Nu se pot posta măsurători.

                                                                                                                                                  Verificați accesul la rețeaua locală la serviciile cloud externe.

                                                                                                                                                  directorul /media/configdrive/hds nu există.

                                                                                                                                                  Verificați configurația de montare ISO pe gazda virtuală. Verificați dacă fișierul ISO există, dacă este configurat să fie montat pe repornire și dacă se montează cu succes.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Utilizați următoarele orientări generale atunci când depanați problemele legate de securitatea datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Revizuiți Control Hub pentru orice alerte și remediați orice elemente pe care le găsiți acolo.

                                                                                                                                                  2

                                                                                                                                                  Revizuiți ieșirea serverului syslog pentru activitatea din implementarea securității datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Contactați asistența Cisco.

                                                                                                                                                  Alte note

                                                                                                                                                  Probleme cunoscute pentru securitatea datelor hibride

                                                                                                                                                  • Dacă închideți clusterul de securitate a datelor hibride (prin ștergerea acestuia în Control Hub sau prin închiderea tuturor nodurilor), pierdeți fișierul ISO de configurare sau pierdeți accesul la baza de date Keystore, utilizatorii aplicației Webex nu mai pot utiliza spații din lista lor de persoane care au fost create cu tastele din KMS. Acest lucru este valabil atât pentru operațiunile de încercare, cât și pentru operațiunile de producție. În prezent, nu avem un loc de muncă sau o soluție pentru această problemă și vă solicităm să nu închideți serviciile HDS odată ce acestea gestionează conturile de utilizator active.

                                                                                                                                                  • Un client care are o conexiune ECDH existentă la un KMS menține acea conexiune pentru o perioadă de timp (probabil o oră). Atunci când un utilizator devine membru al unui proces de securitate a datelor hibride, clientul utilizatorului continuă să utilizeze conexiunea ECDH existentă până la expirarea acesteia. Alternativ, utilizatorul se poate deconecta și reconecta la aplicația Aplicației Webex pentru a actualiza locația pe care aplicația o contactează pentru cheile de criptare.

                                                                                                                                                    Același comportament apare atunci când mutați un proces la producție pentru organizație. Toți utilizatorii non-trial cu conexiuni ECDH existente la serviciile anterioare de securitate a datelor vor continua să utilizeze aceste servicii până când conexiunea ECDH este renegociată (prin expirare sau prin deconectare și reconectare).

                                                                                                                                                  Utilizați OpenSSL pentru a genera un fișier PKCS12

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • OpenSSL este un instrument care poate fi folosit pentru a face fișierul PKCS12 în formatul adecvat pentru încărcare în instrumentul de configurare HDS. Există alte modalități de a face acest lucru, și nu sprijinim sau promovăm un mod peste altul.

                                                                                                                                                  • Dacă alegeți să utilizați OpenSSL, oferim această procedură ca ghid pentru a vă ajuta să creați un fișier care îndeplinește cerințele certificatului X.509 din X.509 Cerințe de certificat. Înțelegeți aceste cerințe înainte de a continua.

                                                                                                                                                  • Instalați OpenSSL într-un mediu acceptat. Consultați https://www.openssl.org pentru software și documentație.

                                                                                                                                                  • Creați o tastă privată.

                                                                                                                                                  • Începeți această procedură atunci când primiți certificatul de server de la Autoritatea dvs. de certificare (CA).

                                                                                                                                                  1

                                                                                                                                                  Când primiți certificatul de server de la CA, salvați-l ca hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Afișați certificatul ca text și verificați detaliile.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizați un editor de text pentru a crea un fișier de pachet de certificate numit hdsnode-bundle.pem. Fișierul pachet trebuie să includă certificatul serverului, orice certificate CA intermediare și certificatele CA rădăcină, în formatul de mai jos:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creați fișierul .p12 cu numele prietenos kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Verificați detaliile certificatului serverului.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Introduceți o parolă la solicitarea de criptare a cheii private, astfel încât aceasta să fie listată în ieșire. Apoi, verificați dacă cheia privată și primul certificat includ liniile friendlyName: kms-private-key.

                                                                                                                                                    Exemplu:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Reveniți la Completarea Condițiilor prealabile pentru securitatea datelor hibride. Veţi utiliza hdsnode.p12 fișier și parola pe care ați setat-o pentru acesta, în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Puteți reutiliza aceste fișiere pentru a solicita un nou certificat atunci când certificatul original expiră.

                                                                                                                                                  Trafic între nodurile HDS și cloud

                                                                                                                                                  Trafic colecție metrică de ieșire

                                                                                                                                                  Nodurile de securitate a datelor hibride trimit anumite măsurători în cloudul Webex. Acestea includ măsurători de sistem pentru înălțimea maximă, înălțimea utilizată, sarcina CPU și numărul de fire; măsurători pe fire sincrone și asincronice; măsurători pe alerte care implică un prag de conexiuni de criptare, latență sau o lungime a cozii de solicitare; măsurători pe placa de date; și măsurători de conexiune de criptare. Nodurile trimit material cheie criptat printr-un canal în afara benzii (separat de solicitare).

                                                                                                                                                  Trafic de intrare

                                                                                                                                                  Nodurile de securitate a datelor hibride primesc următoarele tipuri de trafic de intrare din cloudul Webex:

                                                                                                                                                  • Cereri de criptare de la clienți, care sunt rutate de serviciul de criptare

                                                                                                                                                  • Actualizări la software-ul nodului

                                                                                                                                                  Configurați proxy-urile Squid pentru securitatea datelor hibride

                                                                                                                                                  Șoseta web nu se poate Conecta Prin Proxy Squid

                                                                                                                                                  Proxy-urile Squid care inspectează traficul HTTPS pot interfera cu stabilirea websocket ( wss:) conexiuni care necesită Securitatea datelor hibride. Aceste secțiuni oferă îndrumări cu privire la modul de configurare a diferitelor versiuni de Squid pentru a ignora wss: trafic pentru buna funcționare a serviciilor.

                                                                                                                                                  Squid 4 și 5

                                                                                                                                                  Adăugați on_unsupported_protocol directivă privind squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Squid 3.5.27

                                                                                                                                                  Am testat cu succes Securitatea datelor hibride cu următoarele reguli adăugate la squid.conf. Aceste reguli se pot modifica pe măsură ce dezvoltăm caracteristici și actualizăm cloudul Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefață

                                                                                                                                                  Informații noi și modificate

                                                                                                                                                  Dată

                                                                                                                                                  Modificări efectuate

                                                                                                                                                  20 octombrie 2023

                                                                                                                                                  07 august 2023

                                                                                                                                                  23 mai 2023

                                                                                                                                                  06 decembrie 2022

                                                                                                                                                  23 noiembrie 2022

                                                                                                                                                  13 octombrie 2021

                                                                                                                                                  Docker Desktop trebuie să ruleze un program de configurare înainte de a putea instala noduri HDS. Consultați Cerințele de desktop ale Docker.

                                                                                                                                                  24 iunie 2021

                                                                                                                                                  Rețineți că puteți reutiliza fișierul cu tastatură privată și CSR pentru a solicita un alt certificat. Consultați Utilizarea OpenSSL pentru a genera un fișier PKCS12 pentru detalii.

                                                                                                                                                  30 aprilie 2021

                                                                                                                                                  A schimbat cerința VM pentru spațiul local pe hard disk la 30 GB. Consultați Cerințele Gazdei Virtuale pentru detalii.

                                                                                                                                                  24 februarie 2021

                                                                                                                                                  Instrumentul de configurare HDS poate rula acum în spatele unui proxy. Consultați Creați un ISO de configurare pentru gazdele HDS pentru detalii.

                                                                                                                                                  2 februarie 2021

                                                                                                                                                  HDS poate rula acum fără un fișier ISO montat. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  11 ianuarie 2021

                                                                                                                                                  Au fost adăugate informații despre instrumentul de configurare HDS și proxy-uri pentru a crea un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  13 octombrie 2020

                                                                                                                                                  Fișiere de instalare Descărcare actualizate.

                                                                                                                                                  8 octombrie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu comenzi pentru mediile FedRAMP.

                                                                                                                                                  14 august 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu modificări ale procesului de conectare.

                                                                                                                                                  5 august 2020

                                                                                                                                                  Actualizat Testați implementarea securității datelor hibride pentru modificări ale mesajelor jurnal.

                                                                                                                                                  S-au actualizat Cerințele Gazdei Virtuale pentru a elimina numărul maxim de gazde.

                                                                                                                                                  16 iunie 2020

                                                                                                                                                  Actualizat Eliminați un nod pentru modificările din interfața cu utilizatorul Control Hub.

                                                                                                                                                  4 iunie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru modificările din Setările avansate pe care le-ați putea seta.

                                                                                                                                                  29 mai 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru a afișa puteți utiliza, de asemenea, TLS cu baze de date SQL Server, modificări de interfață de utilizator și alte clarificări.

                                                                                                                                                  5 mai 2020

                                                                                                                                                  Actualizat Cerințele Gazdei Virtuale pentru a afișa noua cerință a ESXi 6.5.

                                                                                                                                                  21 aprilie 2020

                                                                                                                                                  Actualizat Cerințe de conectivitate externă cu noi gazde CI din America.

                                                                                                                                                  Aprilie 1, 2020

                                                                                                                                                  Actualizat Cerințele de conectivitate externă cu informații despre gazdele regionale CI.

                                                                                                                                                  20 februarie 2020Actualizat Creați un ISO de configurare pentru gazdele HDS cu informații despre noul ecran opțional de setări avansate din instrumentul de configurare HDS.
                                                                                                                                                  4 februarie 2020Cerințe server proxy actualizate.
                                                                                                                                                  16 decembrie 2019A clarificat cerința ca modul de rezoluție DNS extern blocat să funcționeze în cerințele serverului proxy.
                                                                                                                                                  19 noiembrie 2019

                                                                                                                                                  Au fost adăugate informații despre modul de rezoluție DNS extern blocat în următoarele secțiuni:

                                                                                                                                                  8 noiembrie 2019

                                                                                                                                                  Acum puteți configura setările de rețea pentru un nod în timp ce implementați OVA, mai degrabă decât ulterior.

                                                                                                                                                  Actualizat în consecință următoarele secțiuni:


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  6 septembrie 2019

                                                                                                                                                  S-a adăugat standardul SQL Server la cerințele serverului bazei de date.

                                                                                                                                                  august 29, 2019A fost adăugată Configurarea proxy-urilor Squid pentru securitatea datelor hibride , cu îndrumări privind configurarea proxy-urilor Squid pentru a ignora traficul websocket pentru funcționarea corespunzătoare.
                                                                                                                                                  20 august 2019

                                                                                                                                                  Secțiuni adăugate și actualizate pentru a acoperi asistența proxy pentru comunicațiile nodului de securitate a datelor hibride în cloudul Webex.

                                                                                                                                                  Pentru a accesa doar conținutul de asistență proxy pentru o implementare existentă, consultați Asistența proxy pentru securitatea datelor hibride și articolul de ajutor Webex Video Mesh .

                                                                                                                                                  13 iunie 2019A fost actualizat Fluxul de activități de producție cu un memento pentru a sincroniza HdsTrialGroup obiectul de grup înainte de a începe un trial dacă organizația dvs. utilizează sincronizarea directorului.
                                                                                                                                                  6 martie 2019
                                                                                                                                                  februarie 28, 2019
                                                                                                                                                  • A corectat cantitatea de spațiu pe hard disk local pe server pe care ar trebui să o setați deoparte atunci când pregătiți gazdele virtuale care devin nodurile de securitate a datelor hibride, de la 50-GB la 20-GB, pentru a reflecta dimensiunea discului pe care OVA îl creează.

                                                                                                                                                  26 februarie 2019
                                                                                                                                                  • Nodurile de securitate a datelor hibride acceptă acum conexiuni criptate cu serverele bazei de date PostgreSQL și conexiuni criptate de conectare la un server syslog TLS capabil. Actualizat Creați un ISO de configurare pentru gazdele HDS cu instrucțiuni.

                                                                                                                                                  • URL-urile de destinație au fost eliminate din tabelul „Cerințe de conectivitate la internet pentru nodul de securitate a datelor hibride VMs”. Tabelul se referă acum la lista menținută în tabelul „URL-uri suplimentare pentru serviciile hibride Webex Teams” din Cerințele rețelei pentru serviciile Webex Teams.

                                                                                                                                                  24 ianuarie 2019

                                                                                                                                                  • Securitatea datelor hibride acceptă acum Microsoft SQL Server ca bază de date. SQL Server întotdeauna activat (întotdeauna pe clusterele de eșec și întotdeauna pe grupurile de disponibilitate) este acceptat de driverele JDBC care sunt utilizate în securitatea datelor hibride. Conținut adăugat legat de implementarea cu SQL Server.


                                                                                                                                                     

                                                                                                                                                    Asistența pentru serverul Microsoft SQL este destinată numai noilor implementări ale securității datelor hibride. În prezent, nu acceptăm migrarea datelor de la PostgreSQL la serverul Microsoft SQL în cadrul unei implementări existente.

                                                                                                                                                  noiembrie 5, 2018
                                                                                                                                                  19 octombrie 2018

                                                                                                                                                  31 iulie 2018

                                                                                                                                                  21 mai 2018

                                                                                                                                                  Terminologia modificată pentru a reflecta rebranding-ul Cisco Spark:

                                                                                                                                                  • Securitatea datelor hibride Cisco Spark este acum Securitatea datelor hibride.

                                                                                                                                                  • Aplicația Cisco Spark este acum aplicația Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud este acum cloudul Webex.

                                                                                                                                                  11 aprilie 2018
                                                                                                                                                  22 februarie 2018
                                                                                                                                                  februarie 15, 2018
                                                                                                                                                  • În tabelul X.509 Cerințe privind certificatul , s-a specificat că certificatul nu poate fi un certificat de carte de vizită și că KMS utilizează domeniul CN, nu orice domeniu definit în câmpurile SAN x.509v3.

                                                                                                                                                  ianuarie 18, 2018

                                                                                                                                                  noiembrie 2, 2017

                                                                                                                                                  • Sincronizarea directorului clarificată a HdsTrialGroup.

                                                                                                                                                  • Fix instrucțiuni pentru încărcarea fișierului de configurare ISO pentru montare la nodurile VM.

                                                                                                                                                  18 august 2017

                                                                                                                                                  Prima publicare

                                                                                                                                                  Începeți cu securitatea datelor hibride

                                                                                                                                                  Prezentare generală a securității datelor hibride

                                                                                                                                                  Începând cu prima zi, securitatea datelor a fost accentul principal în proiectarea Aplicației Webex. Piatra de temelie a acestei securități este criptarea conținutului end-to-end, activată de clienții aplicației Webex care interacționează cu Serviciul de gestionare a cheilor (KMS). KMS este responsabil pentru crearea și gestionarea cheilor criptografice pe care clienții le utilizează pentru a cripta și decripta în mod dinamic mesajele și fișierele.

                                                                                                                                                  În mod implicit, toți clienții Aplicației Webex primesc criptare end-to-end cu chei dinamice stocate în KMS cloud, în domeniul de securitate al Cisco. Hybrid Data Security mută KMS și alte funcții legate de securitate în centrul de date la nivel de întreprindere dvs., astfel încât nimeni în afară de dvs. să nu dețină cheile conținutului dvs. criptat.

                                                                                                                                                  Arhitectură Realm de securitate

                                                                                                                                                  Arhitectura cloud Webex separă diferite tipuri de servicii în domenii separate sau domenii de încredere, după cum este descris mai jos.

                                                                                                                                                  Domenii de separare (fără securitate hibridă a datelor)

                                                                                                                                                  Pentru a înțelege în continuare securitatea datelor hibride, să ne uităm mai întâi la acest caz cloud pur, în care Cisco oferă toate funcțiile din domeniile sale cloud. Serviciul de identitate, singurul loc în care utilizatorii pot fi direct corelați cu informațiile lor personale, cum ar fi adresa de e-mail, este separat în mod logic și fizic de domeniul de securitate din centrul de date B. Ambele sunt, la rândul lor, separate de domeniul în care conținutul criptat este stocat în cele din urmă, în centrul de date C.

                                                                                                                                                  În această diagramă, clientul este aplicația Webex care rulează pe laptopul unui utilizator și s-a autentificat cu serviciul de identitate. Când utilizatorul compune un mesaj pentru a trimite într-un spațiu, au loc următorii pași:

                                                                                                                                                  1. Clientul stabilește o conexiune securizată cu serviciul de gestionare a cheilor (KMS), apoi solicită o cheie pentru a cripta mesajul. Conexiunea securizată utilizează ECDH, iar KMS criptează cheia utilizând o cheie principală AES-256.

                                                                                                                                                  2. Mesajul este criptat înainte de a părăsi clientul. Clientul îl trimite la serviciul de indexare, care creează indexuri de căutare criptate pentru a ajuta în căutările viitoare pentru conținut.

                                                                                                                                                  3. Mesajul criptat este trimis serviciului de conformitate pentru verificări de conformitate.

                                                                                                                                                  4. Mesajul criptat este stocat în domeniul de stocare.

                                                                                                                                                  Când implementați Securitatea datelor hibride, mutați funcțiile domeniului de securitate (KMS, indexare și conformitate) în centrul dvs. de date local. Celelalte servicii cloud care alcătuiesc Webex (inclusiv stocarea identității și a conținutului) rămân în domeniile Cisco.

                                                                                                                                                  Colaborarea cu Alte Organizații

                                                                                                                                                  Utilizatorii din organizația dvs. pot utiliza în mod regulat Aplicația Webex pentru a colabora cu participanți externi din alte organizații. Când unul dintre utilizatorii dvs. solicită o cheie pentru un spațiu care este deținut de organizația dvs. (deoarece a fost creat de unul dintre utilizatorii dvs.), KMS trimite cheia către client printr-un canal ECDH securizat. Cu toate acestea, atunci când o altă organizație deține cheia pentru spațiu, KMS-ul direcționează cererea către cloudul Webex printr-un canal ECDH separat pentru a obține cheia de la KMS-ul corespunzător și apoi returnează cheia către utilizatorul dvs. pe canalul original.

                                                                                                                                                  Serviciul KMS care rulează pe Org A validează conexiunile la KMS în alte organizații utilizând x.509 certificate PKI. Consultați Pregătiți-vă mediul pentru detalii despre generarea unui certificat x.509 pe care să-l utilizați cu implementarea securității datelor hibride.

                                                                                                                                                  Așteptări pentru implementarea securității datelor hibride

                                                                                                                                                  O implementare a securității datelor hibride necesită un angajament semnificativ din partea clienților și o conștientizare a riscurilor pe care le implică deținerea cheilor de criptare.

                                                                                                                                                  Pentru a implementa securitatea datelor hibride, trebuie să furnizați:

                                                                                                                                                  Pierderea completă a configurației ISO pe care o construiți pentru securitatea datelor hibride sau a bazei de date pe care o furnizați va duce la pierderea tastelor. Pierderea tastelor împiedică utilizatorii să decripteze conținutul spațiului și alte date criptate în Aplicația Webex. Dacă se întâmplă acest lucru, puteți construi o nouă implementare, dar numai conținut nou va fi vizibil. Pentru a evita pierderea accesului la date, trebuie:

                                                                                                                                                  • Gestionați backup-ul și recuperarea bazei de date și configurația ISO.

                                                                                                                                                  • Fiți pregătiți să efectuați recuperarea rapidă a dezastrelor dacă apare o catastrofă, cum ar fi defectarea discului de bază de date sau dezastrul centrului de date.


                                                                                                                                                   

                                                                                                                                                  Nu există niciun mecanism pentru a muta cheile înapoi în Cloud după o implementare HDS.

                                                                                                                                                  Proces de configurare la nivel înalt

                                                                                                                                                  Acest document acoperă configurarea și gestionarea implementării securității datelor hibride:

                                                                                                                                                  • Configurați securitatea datelor hibride—Aceasta include pregătirea infrastructurii necesare și instalarea software-ului de securitate a datelor hibride, testarea implementării dvs. cu un subset de utilizatori în modul de încercare și, odată ce testarea dvs. este finalizată, trecerea la producție. Aceasta convertește întreaga organizație pentru a utiliza clusterul dvs. de securitate a datelor hibride pentru funcțiile de securitate.

                                                                                                                                                    Fazele de configurare, încercare și producție sunt acoperite în detaliu în următoarele trei capitole.

                                                                                                                                                  • Mențineți implementarea securității datelor hibride—cloud-ul Webex oferă automat upgrade-uri în curs. Departamentul dvs. IT poate oferi un singur nivel de asistență pentru această implementare și poate angaja asistență Cisco după cum este necesar. Puteți utiliza notificări pe ecran și puteți configura alerte pe bază de e-mail în Control Hub.

                                                                                                                                                  • Înțelegerea alertelor comune, a pașilor de depanare și a problemelor cunoscute—Dacă întâmpinați probleme la implementarea sau utilizarea securității datelor hibride, ultimul capitol din acest ghid și apendicele Probleme cunoscute vă pot ajuta să determinați și să remediați problema.

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  În cadrul centrului dvs. de date al întreprinderii, implementați Securitatea datelor hibride ca un singur grup de noduri pe gazde virtuale separate. Nodurile comunică cu cloudul Webex prin prize web securizate și HTTP securizat.

                                                                                                                                                  În timpul procesului de instalare, vă oferim fișierul OVA pentru a configura dispozitivul virtual pe VMs pe care le furnizați. Utilizați instrumentul de configurare HDS pentru a crea un fișier ISO de configurare a clusterului personalizat pe care îl montați pe fiecare nod. Clusterul de securitate a datelor hibride utilizează serverul Syslogd furnizat și baza de date PostgreSQL sau Microsoft SQL Server. (Configurați detaliile conexiunii Syslogd și a bazei de date în Instrumentul de configurare HDS.)

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  Numărul minim de noduri pe care le puteți avea într-un cluster este de două. Vă recomandăm cel puțin trei, și puteți avea până la cinci. Existența mai multor noduri asigură faptul că serviciul nu este întrerupt în timpul unui upgrade de software sau al unei alte activități de întreținere pe un nod. (Cloudul Webex actualizează doar un nod la un moment dat.)

                                                                                                                                                  Toate nodurile dintr-un cluster accesează aceeași bază de date cu tastatură și înregistrează activitatea pe același server syslog. Nodurile în sine sunt apatride și se ocupă de solicitările cheie în modul rotund-robin, așa cum este direcționat de cloud.

                                                                                                                                                  Nodurile devin active atunci când le înregistrați în Control Hub. Pentru a scoate un nod individual din serviciu, îl puteți desînregistra și apoi îl puteți reînregistra, dacă este necesar.

                                                                                                                                                  Sprijinim doar un singur cluster per organizație.

                                                                                                                                                  Mod de încercare pentru securitatea datelor hibride

                                                                                                                                                  După configurarea unei implementări de securitate a datelor hibride, încercați mai întâi cu un set de utilizatori pilot. În timpul perioadei de încercare, acești utilizatori utilizează domeniul local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Ceilalți utilizatori continuă să utilizeze domeniul de securitate cloud.

                                                                                                                                                  Dacă decideți să nu continuați implementarea în timpul perioadei de încercare și să dezactivați serviciul, utilizatorii pilot și orice utilizatori cu care au interacționat prin crearea de spații noi în timpul perioadei de încercare vor pierde accesul la mesaje și conținut. Aceștia vor vedea „Acest mesaj nu poate fi decriptat” în aplicația Webex.

                                                                                                                                                  Dacă sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare și sunteți pregătit să extindeți Securitatea datelor hibride la toți utilizatorii dvs., mutați implementarea în producție. Utilizatorii pilot continuă să aibă acces la cheile care au fost utilizate în timpul încercării. Cu toate acestea, nu se poate muta înapoi și înainte între modul de producție și procesul inițial. Dacă trebuie să dezactivați serviciul, cum ar fi pentru a efectua recuperarea dezastrelor, atunci când reactivați, trebuie să începeți o nouă încercare și să configurați setul de utilizatori pilot pentru noua încercare înainte de a reveni la modul de producție. Dacă utilizatorii păstrează accesul la date în acest moment depinde de faptul dacă ați menținut cu succes copii de rezervă ale stocului de date cheie și ale fișierului de configurare ISO pentru nodurile de securitate a datelor hibride din cluster.

                                                                                                                                                  Centrul de date standby pentru recuperarea dezastrelor

                                                                                                                                                  În timpul implementării, ați configurat un centru de date standby securizat. În cazul unui dezastru al unui centru de date, puteți eșua manual implementarea în centrul de date standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Eşec manual la centrul de date standby

                                                                                                                                                  Bazele de date ale centrelor de date active și standby sunt în sincronizare unele cu altele, ceea ce va reduce la minimum timpul necesar pentru a efectua eșecul. Fișierul ISO al centrului de date standby este actualizat cu configurații suplimentare care asigură că nodurile sunt înregistrate în organizație, dar nu vor gestiona traficul. Prin urmare, nodurile centrului de date standby rămân întotdeauna la zi cu cea mai recentă versiune de software HDS.


                                                                                                                                                   

                                                                                                                                                  Nodurile active de securitate a datelor hibride trebuie să fie întotdeauna în același centru de date ca serverul de bază de date activă.

                                                                                                                                                  Configurarea Centrului de date standby pentru recuperarea dezastrelor

                                                                                                                                                  Urmați pașii de mai jos pentru a configura fișierul ISO al centrului de date standby:

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Centrul de date standby trebuie să reflecte mediul de producție al VMs și o bază de date PostgreSQL sau Microsoft SQL Server de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs. (Consultați Standby Data Center for Disaster Recovery pentru o prezentare generală a acestui model de eșec.)

                                                                                                                                                  • Asigurați-vă că sincronizarea bazei de date este activată între baza de date a nodurilor de cluster active și pasive.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Fișierul ISO trebuie să fie o copie a fișierului ISO original al centrului de date principal pe care urmează să fie făcute următoarele actualizări de configurare.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos pentru a plasa nodul în modul pasiv. În acest mod, nodul va fi înregistrat în organizație și conectat la cloud, dar nu va gestiona niciun trafic.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați jurnalele pentru a verifica dacă nodurile sunt în mod pasiv. Ar trebui să puteți vizualiza mesajul „KMS configurat în mod pasiv” în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După configurare passiveMode în fișierul ISO și salvându-l, puteți crea o altă copie a fișierului ISO fără passiveMode configurare și salvați-l într-o locație sigură. Această copie a fișierului ISO fără passiveMode configurat poate ajuta într-un proces rapid de eșec în timpul recuperării dezastrelor. Consultați Recuperarea dezastrelor utilizând Centrul de date standby pentru procedura detaliată de nereușită.

                                                                                                                                                  Asistență proxy

                                                                                                                                                  Securitatea datelor hibride acceptă inspecții explicite, transparente și proxy-uri neinspectate. Puteți lega aceste proxy-uri de implementarea dvs., astfel încât să puteți securiza și monitoriza traficul de la întreprindere la cloud. Puteți utiliza o interfață de administrare a platformei pe noduri pentru gestionarea certificatelor și pentru a verifica starea generală a conectivității după ce ați configurat proxy-ul pe noduri.

                                                                                                                                                  Nodurile de securitate a datelor hibride acceptă următoarele opțiuni proxy:

                                                                                                                                                  • Fără proxy—Implicit dacă nu utilizați configurația de configurare a nodului HDS Trust Store și proxy pentru a integra un proxy. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Proxy fără inspecție transparent—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Tunelare transparentă sau inspecție proxy—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTP sau HTTPS pe noduri. Cu toate acestea, nodurile au nevoie de un certificat rădăcină, astfel încât să aibă încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).

                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți nodurilor HDS ce server proxy și sistem de autentificare să utilizați. Pentru a configura un proxy explicit, trebuie să introduceți următoarele informații pe fiecare nod:

                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—În funcție de ce acceptă serverul dvs. proxy, alegeți între următoarele protocoale:

                                                                                                                                                      • HTTP—Vizualizează și controlează toate solicitările pe care clientul le trimite.

                                                                                                                                                      • HTTPS—Oferă un canal serverului. Clientul primește și validează certificatul serverului.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai dacă selectați HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                  Exemplu de noduri hibride de securitate a datelor și proxy

                                                                                                                                                  Această diagramă arată o conexiune de exemplu între securitatea datelor hibride, rețea și un proxy. Pentru inspectarea transparentă și opțiunile HTTPS de inspecție explicită a proxy-urilor, trebuie instalat același certificat rădăcină pe proxy și pe nodurile de securitate a datelor hibride.

                                                                                                                                                  Modul de rezoluție DNS extern blocat (configurații proxy explicite)

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. În implementările cu configurații proxy explicite care nu permit rezoluția DNS externă pentru clienții interni, dacă nodul nu poate interoga serverele DNS, acesta intră automat în modul de Rezoluție DNS Externă Blocată. În acest mod, pot continua testele de înregistrare a nodurilor și alte teste de conectivitate proxy.

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  Cerințe privind securitatea datelor hibride

                                                                                                                                                  Cerințe de licență Cisco Webex

                                                                                                                                                  Pentru implementarea securității datelor hibride:

                                                                                                                                                  Cerințe Docker Desktop

                                                                                                                                                  Înainte de a instala nodurile HDS, aveți nevoie de Docker Desktop pentru a rula un program de configurare. Docker și-a actualizat recent modelul de licențiere. Este posibil ca organizația dvs. să necesite un abonament cu plată pentru Docker Desktop. Pentru detalii, consultați postarea de pe blogul Docker, " Docker actualizează și extinde abonamentele noastre la produse ".

                                                                                                                                                  X.509 Cerințe privind certificatul

                                                                                                                                                  Lanțul certificatului trebuie să îndeplinească următoarele cerințe:

                                                                                                                                                  Tabelul 1. Cerințe de certificare X.509 pentru implementarea securității datelor hibride

                                                                                                                                                  Obligatoriu

                                                                                                                                                  Detalii

                                                                                                                                                  • Semnată de o autoritate de certificare de încredere (CA)

                                                                                                                                                  În mod implicit, avem încredere în CA-urile din lista Mozilla (cu excepția WoSign și StartCom) la https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Poartă un nume de domeniu comun (CN) care identifică implementarea securității datelor hibride

                                                                                                                                                  • Nu este un certificat de carte de vizită

                                                                                                                                                  CN-ul nu trebuie să fie accesibil sau o gazdă live. Vă recomandăm să utilizați un nume care reflectă organizația dvs., de exemplu, hds.company.com.

                                                                                                                                                  CN nu trebuie să conțină un * (wildcard).

                                                                                                                                                  CN este utilizat pentru a verifica nodurile de securitate a datelor hibride pentru clienții Aplicației Webex. Toate nodurile de securitate a datelor hibride din clusterul dvs. utilizează același certificat. KMS-ul se identifică utilizând domeniul CN, nu orice domeniu care este definit în câmpurile SAN x.509v3.

                                                                                                                                                  După ce ați înregistrat un nod cu acest certificat, nu acceptăm schimbarea numelui domeniului CN. Alegeți un domeniu care se poate aplica atât implementărilor de încercare, cât și implementărilor de producție.

                                                                                                                                                  • Semnătură non-SHA1

                                                                                                                                                  Software-ul KMS nu acceptă semnăturile SHA1 pentru validarea conexiunilor la KMSs ale altor organizații.

                                                                                                                                                  • Format ca fișier PKCS #12 protejat prin parolă

                                                                                                                                                  • Utilizați numele prietenos al kms-private-key pentru a eticheta certificatul, cheia privată și orice certificate intermediare pentru a încărca.

                                                                                                                                                  Puteți utiliza un convertor, cum ar fi OpenSSL pentru a schimba formatul certificatului.

                                                                                                                                                  Va trebui să introduceți parola atunci când rulați Instrumentul de configurare HDS.

                                                                                                                                                  Software-ul KMS nu impune utilizarea cheii sau restricții extinse de utilizare a cheii. Unele autorități de certificare impun aplicarea unor restricții extinse de utilizare a cheilor pentru fiecare certificat, cum ar fi autentificarea serverului. Este în regulă să utilizați autentificarea serverului sau alte setări.

                                                                                                                                                  Cerințe Gazdă virtuală

                                                                                                                                                  Gazdele virtuale pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. au următoarele cerințe:

                                                                                                                                                  • Cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat

                                                                                                                                                  • VMware ESXi 6.5 (sau mai târziu) instalat și rulează.


                                                                                                                                                     

                                                                                                                                                    Trebuie să faceți upgrade dacă aveți o versiune anterioară a ESXi.

                                                                                                                                                  • Minim 4 vCPU-uri, 8-GB memorie principală, 30-GB spațiu pe hard disk local pe server

                                                                                                                                                  Cerințe server bază de date


                                                                                                                                                   

                                                                                                                                                  Creați o nouă bază de date pentru stocarea cheilor. Nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.

                                                                                                                                                  Există două opțiuni pentru serverul de baze de date. Cerințele pentru fiecare sunt după cum urmează:

                                                                                                                                                  Tabelul 2. Cerințe server bază de date în funcție de tipul de bază de date

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 sau 16, instalat și în funcțiune.

                                                                                                                                                  • Server SQL 2016, 2017 sau 2019 (Enterprise sau Standard) instalat.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 necesită pachetul de servicii 2 și actualizarea cumulativă 2 sau mai târziu.

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Software-ul HDS instalează în prezent următoarele versiuni de drivere pentru comunicarea cu serverul bazei de date:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Șofer JDBC Postgres 42.2.5

                                                                                                                                                  Driver JDBC SQL Server 4.6

                                                                                                                                                  Această versiune a driverului acceptă SQL Server întotdeauna activat (întotdeauna pe instanțe de cluster nereușite și întotdeauna pe grupuri de disponibilitate).

                                                                                                                                                  Cerințe suplimentare pentru autentificarea Windows împotriva Microsoft SQL Server

                                                                                                                                                  Dacă doriți ca nodurile HDS să utilizeze autentificarea Windows pentru a obține acces la baza dvs. de date Keystore pe Microsoft SQL Server, atunci aveți nevoie de următoarea configurație în mediul dvs.:

                                                                                                                                                  • Nodurile HDS, infrastructura Active Directory și serverul MS SQL trebuie sincronizate cu NTP.

                                                                                                                                                  • Contul Windows pe care îl furnizați nodurilor HDS trebuie să aibă acces citit/scris la baza de date.

                                                                                                                                                  • Serverele DNS pe care le furnizați nodurilor HDS trebuie să poată rezolva Centrul dvs. de distribuție a cheilor (KDC).

                                                                                                                                                  • Puteți înregistra instanța bazei de date HDS pe serverul dvs. Microsoft SQL ca nume principal al serviciului (SPN) în directorul dvs. activ. Consultați Înregistrarea unui nume principal de serviciu pentru conexiunile Kerberos.

                                                                                                                                                    Instrumentul de configurare HDS, lansatorul HDS și KMS local trebuie să utilizeze autentificarea Windows pentru a accesa baza de date Keystore. Ei folosesc detaliile din configurația ISO pentru a construi SPN atunci când solicită acces cu autentificarea Kerberos.

                                                                                                                                                  Cerințe de conectivitate externă

                                                                                                                                                  Configurați firewall-ul pentru a permite următoarea conectivitate pentru aplicațiile HDS:

                                                                                                                                                  Aplicație

                                                                                                                                                  Protocol

                                                                                                                                                  Port

                                                                                                                                                  Direcție din aplicație

                                                                                                                                                  Destinație

                                                                                                                                                  Noduri de securitate a datelor hibride

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire și WSS

                                                                                                                                                  • Servere Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • Alte URL-uri care sunt listate pentru securitatea datelor hibride în tabelul URL-uri suplimentare pentru serviciile hibride Webex al cerințelor rețelei pentru serviciile Webex

                                                                                                                                                  Instrument de configurare HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Nodurile de securitate a datelor hibride funcționează cu traducerea accesului la rețea (NAT) sau în spatele unui firewall, atâta timp cât NAT sau firewall permite conexiunile de ieșire necesare la destinațiile de domeniu din tabelul precedent. Pentru conexiunile care intră în nodurile de securitate a datelor hibride, niciun port nu trebuie să fie vizibil de pe internet. În cadrul centrului dvs. de date, clienții au nevoie de acces la nodurile de securitate a datelor hibride din porturile TCP 443 și 22, în scopuri administrative.

                                                                                                                                                  URL-urile gazdelor pentru identitatea comună (CI) sunt specifice regiunii. Acestea sunt gazdele actuale CI:

                                                                                                                                                  Regiune

                                                                                                                                                  URL-uri comune ale gazdei pentru identitate

                                                                                                                                                  Țările din America

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Uniunea Europeană

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Cerințe server proxy

                                                                                                                                                  • Sprijinim oficial următoarele soluții proxy care se pot integra cu nodurile dvs. de securitate a datelor hibride.

                                                                                                                                                  • Acceptăm următoarele combinații de tip autentificare pentru proxy-uri explicite:

                                                                                                                                                    • Nicio autentificare cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare de bază cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare Digest numai cu HTTPS

                                                                                                                                                  • Pentru un proxy de inspecție transparent sau un proxy explicit HTTPS, trebuie să aveți o copie a certificatului rădăcină al proxy-ului. Instrucțiunile de implementare din acest ghid vă spun cum să încărcați copia în magazinele de încredere ale nodurilor de securitate a datelor hibride.

                                                                                                                                                  • Rețeaua care găzduiește nodurile HDS trebuie să fie configurată pentru a forța traficul TCP de ieșire în portul 443 să se deplaseze prin proxy.

                                                                                                                                                  • Proxy-urile care inspectează traficul web pot interfera cu conexiunile socket-urilor web. Dacă apare această problemă, ocolirea (nu inspectarea) traficului la wbx2.com și ciscospark.com va rezolva problema.

                                                                                                                                                  Completați cerințele preliminare pentru securitatea datelor hibride

                                                                                                                                                  Utilizați această listă de verificare pentru a vă asigura că sunteți gata să instalați și să configurați clusterul de securitate a datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Asigurați-vă că organizația dvs. Webex este activată pentru pachetul Pro pentru Cisco Webex Control Hub și obțineți acreditările unui cont cu drepturi depline de administrator al organizației. Contactați-vă partenerul Cisco sau managerul de cont pentru ajutor în acest proces.

                                                                                                                                                  2

                                                                                                                                                  Alegeți un nume de domeniu pentru implementarea HDS (de exemplu, hds.company.com) și să obțină un lanț de certificate care conține un certificat X.509, cheie privată și orice certificate intermediare. Lanțul certificatului trebuie să îndeplinească cerințele din Cerințele de certificare X.509.

                                                                                                                                                  3

                                                                                                                                                  Pregătiți gazdele virtuale identice pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. Aveți nevoie de cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat, care îndeplinesc cerințele din Cerințele Gazdei Virtuale.

                                                                                                                                                  4

                                                                                                                                                  Pregătiți serverul bazei de date care va acționa ca un magazin de date cheie pentru cluster, în conformitate cu cerințele serverului bazei de date. Serverul bazei de date trebuie să fie plasat în centrul de date securizat cu gazdele virtuale.

                                                                                                                                                  1. Creați o bază de date pentru stocarea tastelor. (Trebuie să creați această bază de date—nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.)

                                                                                                                                                  2. Colectați detaliile pe care nodurile le vor utiliza pentru a comunica cu serverul bazei de date:

                                                                                                                                                    • numele gazdei sau adresa IP (gazda) și portul

                                                                                                                                                    • numele bazei de date (dbname) pentru stocarea cheilor

                                                                                                                                                    • numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură

                                                                                                                                                  5

                                                                                                                                                  Pentru recuperarea rapidă a dezastrelor, configurați un mediu de rezervă într-un alt centru de date. Mediul de rezervă reflectă mediul de producție al VMs și un server de baze de date de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs.

                                                                                                                                                  6

                                                                                                                                                  Configurați o gazdă syslog pentru a colecta jurnale de la nodurile din cluster. Aduna adresa de rețea și portul syslog (implicit este UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creați o politică de rezervă securizată pentru nodurile de securitate a datelor hibride, serverul bazei de date și gazda syslog. Cel puțin, pentru a preveni pierderea de date nerecuperabile, trebuie să salvați baza de date și fișierul ISO de configurare generat pentru nodurile de securitate a datelor hibride.


                                                                                                                                                   

                                                                                                                                                  Deoarece nodurile de securitate a datelor hibride stochează cheile utilizate în criptarea și decriptarea conținutului, nemenținerea unei implementări operaționale va duce la PIERDEREA NERECUPERABILĂ a conținutului respectiv.

                                                                                                                                                  Clienții Aplicației Webex își ascund cheile, astfel încât este posibil ca o întrerupere să nu fie vizibilă imediat, dar va deveni evidentă în timp. În timp ce ieșirile temporare sunt imposibil de prevenit, acestea sunt recuperabile. Cu toate acestea, pierderea completă (fără backup-uri disponibile) a bazei de date sau a fișierului ISO de configurare va duce la date client nerecuperabile. Operatorii nodurilor de securitate a datelor hibride se așteaptă să mențină backup-uri frecvente ale bazei de date și ale fișierului ISO de configurare și să fie pregătiți să reconstruiască centrul de date de securitate a datelor hibride în cazul în care apare un eșec catastrofal.

                                                                                                                                                  8

                                                                                                                                                  Asigurați-vă că configurația firewall-ului dvs. permite conectivitatea pentru nodurile dvs. de securitate a datelor hibride, astfel cum sunt prezentate în cerințele de conectivitate externă.

                                                                                                                                                  9

                                                                                                                                                  Instalați Docker ( https://www.docker.com) pe orice mașină locală care rulează un sistem de operare acceptat (Microsoft Windows 10 Professional sau Enterprise pe 64 de biți sau Mac OSX Yosemite 10.10.3 sau mai sus) cu un browser web care îl poate accesa la http://127.0.0.1:8080.

                                                                                                                                                  Utilizați instanța Docker pentru a descărca și rula Instrumentul de configurare HDS, care construiește informațiile de configurare locale pentru toate nodurile de securitate a datelor hibride. Este posibil ca organizația dvs. să aibă nevoie de o licență Docker Desktop. Consultați Cerințele Docker Desktop pentru mai multe informații.

                                                                                                                                                  Pentru a instala și rula Instrumentul de configurare HDS, utilajul local trebuie să aibă conectivitatea descrisă în Cerințele de conectivitate externă.

                                                                                                                                                  10

                                                                                                                                                  Dacă integrați un proxy cu securitatea datelor hibride, asigurați-vă că îndeplinește Cerințele serverului proxy.

                                                                                                                                                  11

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, creați un grup în Active Directory numit HdsTrialGroup, și adăugați utilizatori pilot. Grupul de încercare poate avea până la 250 de utilizatori. Fișierul HdsTrialGroup obiectul trebuie să fie sincronizat în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru a sincroniza un obiect de grup, selectați-l în Directory Connector Configurare > Meniu Selecție obiect. (Pentru instrucțiuni detaliate, consultați Ghidul de implementare pentru Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Atunci când selectați utilizatori pilot, rețineți că, dacă decideți să dezactivați definitiv implementarea securității datelor hibride, toți utilizatorii pierd accesul la conținut în spațiile create de utilizatorii pilot. Pierderea devine evidentă imediat ce aplicațiile utilizatorilor își reîmprospătează copiile cache ale conținutului.

                                                                                                                                                  Configurarea unui cluster de securitate a datelor hibride

                                                                                                                                                  Flux sarcină de implementare a securității datelor hibride

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  1

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  Descărcați fișierul OVA la utilajul local pentru utilizare ulterioară.

                                                                                                                                                  2

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Utilizați instrumentul de configurare HDS pentru a crea un fișier de configurare ISO pentru nodurile de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Creați o mașină virtuală din fișierul OVA și efectuați configurația inițială, cum ar fi setările de rețea.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  4

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Conectați-vă la consola VM și setați acreditările de conectare. Configurați setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  5

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Configurați VM din fișierul de configurare ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită configurare proxy, specificați tipul de proxy pe care îl veți utiliza pentru nod și adăugați certificatul proxy la magazinul de încredere, dacă este necesar.

                                                                                                                                                  7

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Înregistrați VM cu cloudul Cisco Webex ca nod de securitate a datelor hibrid.

                                                                                                                                                  8

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Finalizați configurarea clusterului.

                                                                                                                                                  9

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)

                                                                                                                                                  Până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  În această sarcină, descărcați un fișier OVA pe mașina dvs. (nu pe serverele pe care le-ați configurat ca noduri de securitate a datelor hibride). Utilizați acest fișier mai târziu în procesul de instalare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi faceți clic pe Servicii.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride, apoi faceți clic pe Configurare.

                                                                                                                                                  Dacă cardul este dezactivat sau nu îl vedeți, contactați echipa de cont sau organizația parteneră. Dați-le numărul contului dvs. și solicitați să activați organizația dvs. pentru securitatea datelor hibride. Pentru a găsi numărul contului, faceți clic pe dispozitivul din dreapta sus, lângă numele organizației dvs.


                                                                                                                                                   

                                                                                                                                                  De asemenea, puteți descărca OVA în orice moment din secțiunea Ajutor de pe pagina Setări . Pe cardul de securitate a datelor hibride, faceți clic pe Editare setări pentru a deschide pagina. Atunci, faceți clic pe Descărcați software-ul de securitate a datelor hibride în secțiunea Ajutor .


                                                                                                                                                   

                                                                                                                                                  Versiunile mai vechi ale pachetului software (OVA) nu vor fi compatibile cu cele mai recente upgrade-uri de securitate a datelor hibride. Acest lucru poate duce la probleme în timp ce actualizarea aplicației. Asigurați-vă că descărcați cea mai recentă versiune a fișierului OVA.

                                                                                                                                                  3

                                                                                                                                                  Selectați Nu pentru a indica faptul că nu ați configurat încă nodul, apoi faceți clic pe Înainte.

                                                                                                                                                  Fișierul OVA începe automat să se descarce. Salvați fișierul într-o locație de pe utilajul dvs.
                                                                                                                                                  4

                                                                                                                                                  Opțional, faceți clic pe Deschidere Ghid de implementare pentru a verifica dacă există o versiune ulterioară a acestui ghid disponibil.

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Procesul de configurare a securității datelor hibride creează un fișier ISO. Apoi utilizați ISO pentru a configura gazda dvs. de securitate a datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în pasul 5. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Fișierul de configurare ISO pe care îl generați conține cheia principală care criptează baza de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de cea mai recentă copie a acestui fișier oricând efectuați modificări de configurare, cum ar fi acestea:

                                                                                                                                                    • Informații bază de date

                                                                                                                                                    • Actualizări certificat

                                                                                                                                                    • Modificări ale politicii de autorizare

                                                                                                                                                  • Dacă intenționați să criptați conexiunile la baza de date, configurați implementarea PostgreSQL sau SQL Server pentru TLS.

                                                                                                                                                  1

                                                                                                                                                  În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2

                                                                                                                                                  Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  La solicitarea parolei, introduceți acest hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  • În mediile obișnuite fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile FedRAMP fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  Utilizați un browser web pentru a merge la gazda locală, http://127.0.0.1:8080, și introduceți numele de utilizator al administratorului clientului pentru Control Hub la prompt.

                                                                                                                                                  Instrumentul utilizează această primă intrare a numelui de utilizator pentru a seta mediul adecvat pentru acel cont. Instrumentul afișează apoi apelul standard de conectare.

                                                                                                                                                  7

                                                                                                                                                  Când vi se solicită, introduceți acreditările de conectare ale administratorului clientului Control Hub, apoi faceți clic pe Conectare pentru a permite accesul la serviciile necesare pentru securitatea datelor hibride.

                                                                                                                                                  8

                                                                                                                                                  Pe pagina de prezentare generală a instrumentului de configurare, faceți clic pe Get Started.

                                                                                                                                                  9

                                                                                                                                                  Pe pagina ISO Import aveți aceste opțiuni:

                                                                                                                                                  • Nu—Dacă creați primul nod HDS, nu aveți un fișier ISO pentru încărcare.
                                                                                                                                                  • Da—Dacă ați creat deja noduri HDS, apoi selectați fișierul ISO în navigare și încărcați-l.
                                                                                                                                                  10

                                                                                                                                                  Verificați dacă certificatul dvs. X.509 îndeplinește cerințele din Cerințele de certificare X.509.

                                                                                                                                                  • Dacă nu ați mai încărcat un certificat înainte, încărcați certificatul X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. este OK, faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. a expirat sau doriți să îl înlocuiți, selectați Nu pentru Continuare utilizând lanțul certificatului HDS și cheia privată din ISO anterior?. Încărcați un nou certificat X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  11

                                                                                                                                                  Introduceți adresa bazei de date și contul HDS pentru a accesa baza de date cu tastatură:

                                                                                                                                                  1. Selectați tipul bazei de date (PostgreSQL sau Microsoft SQL Server).

                                                                                                                                                    Dacă alegeți Microsoft SQL Server, primiți un câmp tip autentificare.

                                                                                                                                                  2. (Numai serverul Microsoft SQL) Selectați tipul dvs. de autentificare:

                                                                                                                                                    • Autentificare de bază: Aveți nevoie de un nume de cont SQL Server local în câmpul Nume de utilizator .

                                                                                                                                                    • Autentificare Windows: Aveți nevoie de un cont Windows în format username@DOMAIN în câmpul Nume utilizator .

                                                                                                                                                  3. Introduceți adresa serverului bazei de date în formular <hostname>:<port> sau <IP-address>:<port>.

                                                                                                                                                    Exemplu:
                                                                                                                                                    dbhost.example.org:1433 sau 198.51.100.17:1433

                                                                                                                                                    Puteți utiliza o adresă IP pentru autentificarea de bază, dacă nodurile nu pot utiliza DNS pentru a rezolva numele gazdei.

                                                                                                                                                    Dacă utilizați autentificarea Windows, trebuie să introduceți un nume de domeniu complet calificat în format dbhost.example.org:1433

                                                                                                                                                  4. Introduceți numele bazei de date.

                                                                                                                                                  5. Introduceți numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură.

                                                                                                                                                  12

                                                                                                                                                  Selectați un mod de conectare la baza de date TLS:

                                                                                                                                                  Mod

                                                                                                                                                  Descriere

                                                                                                                                                  Prefer TLS (opțiune prestabilită)

                                                                                                                                                  Nodurile HDS nu necesită TLS pentru a se conecta la server bază de date de date . Dacă activați TLS pe serverul bazei de date, nodurile încearcă o conexiune criptată.

                                                                                                                                                  Solicită TLS

                                                                                                                                                  Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului


                                                                                                                                                   

                                                                                                                                                  Acest mod nu se aplică bazelor de date SQL Server.

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului și numele gazdei

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  • Nodurile verifică, de asemenea, dacă numele gazdei din certificatul de server corespunde numelui gazdei din câmpul Gazdă bază de date și port . Numele trebuie să corespundă exact, sau nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Când încărcați certificatul rădăcină (dacă este necesar) și faceți clic pe Continuare, instrumentul de configurare HDS testează conexiunea TLS la serverul bazei de date. Instrumentul verifică, de asemenea, semnatarul certificatului și numele gazdei, dacă este cazul. Dacă un test eșuează, instrumentul afișează un mesaj de eroare care descrie problema. Puteți alege să ignorați eroarea și să continuați configurarea. (Din cauza diferențelor de conectivitate, nodurile HDS ar putea fi capabile să stabilească conexiunea TLS, chiar dacă utilajul Instrumentului de configurare HDS nu o poate testa cu succes.)

                                                                                                                                                  13

                                                                                                                                                  Pe pagina Jurnale de sistem, configurați serverul Syslogd:

                                                                                                                                                  1. Introduceți URL-ul serverului syslog.

                                                                                                                                                    Dacă serverul nu poate fi rezolvat prin DNS din nodurile clusterului dvs. HDS, utilizați o adresă IP în URL.

                                                                                                                                                    Exemplu:
                                                                                                                                                    udp://10.92.43.23:514 indică conectarea la gazda Syslogd 10.92.43.23 pe portul UDP 514.
                                                                                                                                                  2. Dacă configurați serverul pentru a utiliza criptarea TLS, verificați dacă este configurat serverul syslog pentru criptarea SSL?.

                                                                                                                                                    Dacă bifați această casetă de selectare, asigurați-vă că introduceți un URL TCP, cum ar fi tcp://10.92.43.23:514.

                                                                                                                                                  3. Din lista derulantă Choose syslog record termination , alegeți setarea potrivită pentru fișierul dvs. ISO: Alegerea sau linia nouă este utilizată pentru Graylog și Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Newline -- \n—Selectați această opțiune pentru Graylog și Rsyslog TCP.

                                                                                                                                                  4. Faceți clic pe Continuați.

                                                                                                                                                  14

                                                                                                                                                  (Opțional) Puteți modifica valoarea implicită a unor parametri de conexiune la baza de date în Setări avansate. În general, acest parametru este singurul pe care s-ar putea dori să-l modificați:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Faceți clic pe Continuare pe ecranul Resetare Conturi serviciu Parolă .

                                                                                                                                                  Parolele contului de serviciu au o durată de viață de nouă luni. Utilizați acest ecran atunci când parolele dvs. se apropie de expirare sau doriți să le resetați pentru a dezactiva fișierele ISO anterioare.

                                                                                                                                                  16

                                                                                                                                                  Faceți clic pe Descărcați fișierul ISO. Salvați fișierul într-o locație ușor de găsit.

                                                                                                                                                  17

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local.

                                                                                                                                                  Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  18

                                                                                                                                                  Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Backup fișierul ISO de configurare. Aveți nevoie de ea pentru a crea mai multe noduri pentru recuperare, sau pentru a face modificări de configurare. Dacă pierdeți toate copiile fișierului ISO, ați pierdut, de asemenea, cheia principală. Recuperarea tastelor din baza de date PostgreSQL sau Microsoft SQL Server nu este posibilă.


                                                                                                                                                   

                                                                                                                                                  Nu avem niciodată o copie a acestei chei și nu poate ajuta dacă îl pierzi.

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Utilizați această procedură pentru a crea o mașină virtuală din fișierul OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selectați Fișier > Implementați șablonul OVF.

                                                                                                                                                  3

                                                                                                                                                  În expert, specificați locația fișierului OVA pe care l-ați descărcat mai devreme, apoi faceți clic pe În continuare.

                                                                                                                                                  4

                                                                                                                                                  Pe Selectați un nume și un folder pagină , introduceți o Nume mașină virtuală pentru nod (de exemplu, „HDS_Node_1”), alegeți o locație în care se poate afla implementarea nodului mașinii virtuale, apoi faceți clic pe În continuare.

                                                                                                                                                  5

                                                                                                                                                  Pe Selectați o resursă de calcul pagină , alegeți resursa de calcul destinație, apoi faceți clic pe În continuare.

                                                                                                                                                  O verificare de validare se execută. După ce se termină, apar detaliile șablonului.

                                                                                                                                                  6

                                                                                                                                                  Verificați detaliile șablonului și apoi faceți clic pe Înainte.

                                                                                                                                                  7

                                                                                                                                                  Dacă vi se solicită să alegeți configurația de resurse de pe Configurare pagină , faceți clic pe 4 CPU apoi faceți clic pe În continuare.

                                                                                                                                                  8

                                                                                                                                                  Pe Selectați spațiul de stocare pagină , faceți clic pe În continuare pentru a accepta formatul implicit al discului și politica de stocare VM.

                                                                                                                                                  9

                                                                                                                                                  Pe Selectați rețelele pagină, alege opțiunea de rețea din lista de intrări pentru a oferi conexiunea dorită la VM.

                                                                                                                                                  10

                                                                                                                                                  Pe pagina Personalizați șablonul , configurați următoarele setări ale rețelei:

                                                                                                                                                  • Nume gazdă—Introduceți FQDN (nume de gazdă și domeniu) sau un singur cuvânt nume de gazdă pentru nod.

                                                                                                                                                     
                                                                                                                                                    • Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                    • Pentru a vă asigura că vă înregistrați cu succes în cloud, utilizați numai caractere din FQDN sau numele gazdei pe care le-ați setat pentru nod. Capitalizarea nu este acceptată în acest moment.

                                                                                                                                                    • Lungimea totală a FQDN nu trebuie să depășească 64 de caractere.

                                                                                                                                                  • Adresă IP— Introduceți adresa IP pentru interfața internă a nodului.

                                                                                                                                                     

                                                                                                                                                    Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  • Mască—Introduceți adresa măștii subnet în notația punct-zecimală. De exemplu, 255.255.255.0.
                                                                                                                                                  • Gateway—Introduceți adresa IP a gateway-ului. Un gateway este un nod de rețea care servește ca punct de acces la o altă rețea.
                                                                                                                                                  • Servere DNS—Introduceți o listă de servere DNS separate prin virgulă, care se ocupă cu traducerea numelor de domenii către adrese IP numerice. (Sunt permise până la 4 intrări DNS.)
                                                                                                                                                  • Servere NTP—Introduceți serverul NTP al organizației dvs. sau un alt server NTP extern care poate fi utilizat în organizația dvs. Serverele NTP implicite nu pot funcționa pentru toate întreprinderile. De asemenea, puteți utiliza o listă separată prin virgulă pentru a introduce mai multe servere NTP.
                                                                                                                                                  • Implementați toate nodurile din aceeași subrețea sau VLAN, astfel încât toate nodurile dintr-un cluster să poată fi accesate de clienții din rețeaua dvs. în scopuri administrative.

                                                                                                                                                  Dacă preferați, puteți sări peste configurația de setare a rețelei și puteți urma pașii din Configurați VM-ul de securitate a datelor hibride pentru a configura setările din consola nodului.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  11

                                                                                                                                                  Faceți clic dreapta pe nodul VM, apoi alegeți Alimentare > Pornire.

                                                                                                                                                  Software-ul de securitate a datelor hibride este instalat ca invitat pe Gazda VM. Acum sunteți gata să vă conectați la consolă și să configurați nodul.

                                                                                                                                                  Sfaturi pentru depanare

                                                                                                                                                  Este posibil să aveți o întârziere de câteva minute înainte de apariția containerelor de nod. Un mesaj de firewall de legătură apare pe consolă în timpul primei boot-ări, în timpul căreia nu vă puteți conecta.

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a vă conecta pentru prima dată la consola VM a nodului de securitate a datelor hibride și pentru a seta acreditările de conectare. De asemenea, puteți utiliza consola pentru a configura setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  1

                                                                                                                                                  În clientul VMware vSphere, selectați nodul de securitate a datelor hibride VM și selectați fila Console .

                                                                                                                                                  VM pornește în sus și apare un prompt de conectare. Dacă mesajul de conectare nu se afișează, apăsați Enter.
                                                                                                                                                  2

                                                                                                                                                  Utilizați următoarea conectare implicită și parola pentru a vă conecta și a modifica datele de autentificare:

                                                                                                                                                  1. Conectare: admin

                                                                                                                                                  2. Parolă: cisco

                                                                                                                                                  Deoarece vă conectați pentru prima dată la VM, trebuie să schimbați parola de administrator.

                                                                                                                                                  3

                                                                                                                                                  Dacă ați configurat deja setările de rețea în Instalați gazda HDS OVA, omiteți restul acestei proceduri. În caz contrar, în meniul principal, selectați opțiunea Editare configurație .

                                                                                                                                                  4

                                                                                                                                                  Configurați o configurație statică cu adresă IP, Mască, Gateway și informații DNS. Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  5

                                                                                                                                                  (Opțional) Modificați numele gazdei, domeniul sau serverul (serverele) NTP, dacă este necesar pentru a se potrivi cu politica de rețea.

                                                                                                                                                  Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvați configurația de rețea și reporniți VM, astfel încât modificările să aibă efect.

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Utilizați această procedură pentru a configura mașina virtuală din fișierul ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Deoarece fișierul ISO deține cheia principală, acesta ar trebui să fie expus numai pe o bază „trebuie să știe”, pentru a fi accesat de către VM-urile de securitate a datelor hibride și de orice administratori care ar putea avea nevoie să facă modificări. Asigurați-vă că numai acei administratori pot accesa stația de date.

                                                                                                                                                  1

                                                                                                                                                  Încărcați fișierul ISO de pe computer:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, faceţi clic pe serverul ESXi.

                                                                                                                                                  2. În lista Hardware a filei de configurare, faceți clic pe Storage (Depozitare).

                                                                                                                                                  3. În lista Datastores, faceți clic dreapta pe bara de date pentru VMs și faceți clic pe Browse Datastore.

                                                                                                                                                  4. Faceți clic pe pictograma Încărcare fișiere, apoi faceți clic pe Încărcare fișier.

                                                                                                                                                  5. Navigați la locația în care ați descărcat fișierul ISO pe computer și faceți clic pe Deschidere.

                                                                                                                                                  6. Faceți clic pe Da pentru a accepta avertismentul operațiunii de încărcare/descărcare și închideți dialogul cu stația de date.

                                                                                                                                                  2

                                                                                                                                                  Montați fișierul ISO:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  2. Faceți clic pe OK pentru a accepta avertismentul privind opțiunile de editare restricționate.

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO datastore și navigați la locația în care ați încărcat fișierul ISO de configurare.

                                                                                                                                                  4. Verificați Conectat și Conectat la putere.

                                                                                                                                                  5. Salvați modificările și reporniți mașina virtuală.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Dacă politica dvs. IT necesită, puteți dezinstala opțional fișierul ISO după ce toate nodurile dvs. preiau modificările de configurare. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită un proxy, utilizați această procedură pentru a specifica tipul de proxy pe care doriți să îl integrați cu securitatea datelor hibride. Dacă alegeți un proxy de inspecție transparent sau un proxy explicit HTTPS, puteți utiliza interfața nodului pentru a încărca și instala certificatul rădăcină. De asemenea, puteți verifica conexiunea proxy din interfață și puteți rezolva orice probleme potențiale.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  1

                                                                                                                                                  Introduceți URL-ul de configurare a nodului HDS https://[HDS Node IP or FQDN]/setup într-un browser web, introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Trust Store & Proxy, apoi alegeți o opțiune:

                                                                                                                                                  • Nu există proxy—Opțiunea implicită înainte de a integra un proxy. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Proxy transparent fără inspecție- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Inspecție transparentă proxy- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTPS la implementarea securității datelor hibride, cu toate acestea, nodurile HDS au nevoie de un certificat rădăcină pentru a avea încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).
                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți clientului (noduri HDS) ce server proxy să utilizeze, iar această opțiune acceptă mai multe tipuri de autentificare. După ce alegeți această opțiune, trebuie să introduceți următoarele informații:
                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—Alegeți http (vizualizează și controlează toate solicitările primite de la client) sau https (oferă un canal serverului, iar clientul primește și validează certificatul serverului). Alegeți o opțiune pe baza a ceea ce acceptă serverul proxy.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai pentru proxy-uri HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                  Urmați pașii următori pentru un proxy de inspecție transparent, un proxy explicit HTTP cu autentificare de bază sau un proxy explicit HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Faceți clic pe Încărcați un certificat rădăcină sau un certificat de entitate finalizată, apoi navigați la o alegere a certificatului rădăcină pentru proxy.

                                                                                                                                                  Certificatul este încărcat, dar nu este încă instalat, deoarece trebuie să reporniți nodul pentru a instala certificatul. Faceți clic pe săgeata chevron după numele emitentului certificatului pentru a obține mai multe detalii sau faceți clic pe Ștergere dacă ați făcut o greșeală și doriți să reîncărcați fișierul.

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy pentru a testa conectivitatea la rețea între nod și proxy.

                                                                                                                                                  Dacă testul conexiunii eșuează, veți vedea un mesaj de eroare care arată motivul și modul în care puteți corecta problema.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a reușit, nodul nu a putut ajunge la serverul DNS. Această condiție este de așteptat în multe configurații proxy explicite. Puteți continua cu configurarea, iar nodul va funcționa în modul de Rezoluție DNS Externă Blocată. Dacă credeți că aceasta este o eroare, completați acești pași și apoi consultați Dezactivarea modului de rezoluție DNS extern blocat.

                                                                                                                                                  5

                                                                                                                                                  După ce testul conexiunii trece, pentru proxy explicit setat numai la https, activați comutatorul pentru a Ruta toate solicitările de port 443/444 https din acest nod prin proxy explicit. Această setare necesită 15 secunde pentru a intra în vigoare.

                                                                                                                                                  6

                                                                                                                                                  Faceți clic pe Instalare toate certificatele în magazinul de încredere (apare pentru un proxy explicit HTTPS sau un proxy de inspecție transparent) sau Reporniți (apare pentru un proxy explicit HTTP), citiți mesajul și apoi faceți clic pe Instalare dacă sunteți pregătit.

                                                                                                                                                  Nodul repornește în câteva minute.

                                                                                                                                                  7

                                                                                                                                                  După repornirea nodului, conectați-vă din nou dacă este necesar, apoi deschideți pagina Prezentare generală pentru a verifica verificările de conectivitate pentru a vă asigura că toate sunt în stare verde.

                                                                                                                                                  Verificarea conexiunii proxy testează numai un subdomeniu al webex.com. Dacă există probleme de conectivitate, o problemă comună este că unele dintre domeniile cloud enumerate în instrucțiunile de instalare sunt blocate la proxy.

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Această sarcină preia nodul generic pe care l-ați creat în Configurarea VM-ului de securitate a datelor hibride, înregistrează nodul cu cloudul Webex și îl transformă într-un nod de securitate a datelor hibride.

                                                                                                                                                  Când vă înregistrați primul nod, creați un cluster căruia i se atribuie nodul. Un cluster conține unul sau mai multe noduri implementate pentru a oferi redundanță.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Din meniul din partea stângă a ecranului, selectați Servicii.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Configurare.

                                                                                                                                                  Apare pagina Nod de securitate a datelor hibride de înregistrare.
                                                                                                                                                  4

                                                                                                                                                  Selectați Da pentru a indica faptul că ați configurat nodul și sunteți gata să îl înregistrați, apoi faceți clic pe Înainte.

                                                                                                                                                  5

                                                                                                                                                  În primul câmp, introduceți un nume pentru clusterul la care doriți să alocați nodul dvs. de securitate a datelor hibride.

                                                                                                                                                  Vă recomandăm să denumiți un cluster bazat pe locul în care nodurile clusterului sunt localizate geografic. Exemple: "San Francisco" sau "New York" sau "Dallas"

                                                                                                                                                  6

                                                                                                                                                  În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                  Această adresă IP sau FQDN trebuie să corespundă adresei IP sau numelui gazdei și domeniului pe care l-ați utilizat în Configurarea VM-ului de securitate a datelor hibride.

                                                                                                                                                  Apare un mesaj care indică faptul că vă puteți înregistra nodul la Webex.
                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Du-te la Nod.

                                                                                                                                                  8

                                                                                                                                                  Faceți clic pe Continuare în mesajul de avertizare.

                                                                                                                                                  După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. Webex pentru a accesa nodul dvs.
                                                                                                                                                  9

                                                                                                                                                  Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                  Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  10

                                                                                                                                                  Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Pe pagina Securitate datelor hibride, este afișat noul cluster care conține nodul pe care l-ați înregistrat. Nodul va descărca automat cel mai recent software din cloud.

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Pentru a adăuga noduri suplimentare în cluster, creați pur și simplu VMs suplimentare și montați același fișier ISO de configurare, apoi înregistrați nodul. Vă recomandăm să aveți cel puțin 3 noduri.

                                                                                                                                                   

                                                                                                                                                  În acest moment, VMs de rezervă pe care le-ați creat în Completați Condițiile prealabile pentru securitatea datelor hibride sunt gazde standby care sunt utilizate numai în caz de recuperare a dezastrelor; acestea nu sunt înregistrate la sistem până atunci. Pentru detalii, consultați Recuperarea dezastrelor utilizând Centrul de date standby.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creați o nouă mașină virtuală din OVA, repetând pașii din Instalați gazda HDS OVA.

                                                                                                                                                  2

                                                                                                                                                  Configurați configurația inițială pe noul VM, repetând pașii din Configurați VM-ul de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe noul VM, repetați pașii din Încărcați și montați ISO de configurare HDS.

                                                                                                                                                  4

                                                                                                                                                  Dacă configurați un proxy pentru implementarea dvs., repetați pașii din Configurați nodul HDS pentru Integrare proxy după cum este necesar pentru noul nod.

                                                                                                                                                  5

                                                                                                                                                  Înregistrați nodul.

                                                                                                                                                  1. În https://admin.webex.com, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2. În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride și faceți clic pe Resurse.

                                                                                                                                                    Apare pagina Resurse de securitate a datelor hibride.
                                                                                                                                                  3. Faceți clic pe Adăugare resursă.

                                                                                                                                                  4. În primul câmp, selectați numele clusterului existent.

                                                                                                                                                  5. În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                    Apare un mesaj care indică faptul că vă puteți înregistra nodul în cloudul Webex.
                                                                                                                                                  6. Faceți clic pe Du-te la Nod.

                                                                                                                                                    După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. pentru a accesa nodul dvs.
                                                                                                                                                  7. Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                    Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  8. Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Nodul dvs. este înregistrat. Rețineți că până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)
                                                                                                                                                  Efectuați un proces și mutați-vă la producție

                                                                                                                                                  Încercare la fluxul sarcinilor de producție

                                                                                                                                                  După ce ați configurat un cluster de securitate a datelor hibride, puteți iniția un pilot, puteți adăuga utilizatori la acesta și puteți începe să îl utilizați pentru testarea și verificarea implementării dvs. în vederea trecerii la producție.

                                                                                                                                                  1

                                                                                                                                                  Dacă este cazul, sincronizați HdsTrialGroup obiect de grup.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea începe o încercare. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Activați procesul

                                                                                                                                                  Începeți o încercare. Până când nu efectuați această sarcină, nodurile dvs. generează o alarmă care indică faptul că serviciul nu este încă activat.

                                                                                                                                                  3

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Verificați dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  4

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Verificați starea și configurați notificările prin e-mail pentru alarme.

                                                                                                                                                  5

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  6

                                                                                                                                                  Finalizați faza de probă cu una dintre următoarele acțiuni:

                                                                                                                                                  Activați procesul

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Inițiere încercare.

                                                                                                                                                  Starea serviciului se modifică în modul de încercare.
                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Adăugare utilizatori și introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a pilot utilizând nodurile dvs. de securitate a datelor hibride pentru serviciile de criptare și indexare.

                                                                                                                                                  (Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory pentru a gestiona grupul de încercare, HdsTrialGroup.)

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a testa scenariile de criptare a securității datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Configurați implementarea securității datelor hibride.

                                                                                                                                                  • Activați procesul și adăugați mai mulți utilizatori de proces.

                                                                                                                                                  • Asigurați-vă că aveți acces la syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Conectați-vă la Aplicația Webex ca unul dintre utilizatorii pilot, apoi creați un spațiu și invitați cel puțin un utilizator pilot și un utilizator non-pilot.


                                                                                                                                                   

                                                                                                                                                  Dacă dezactivați implementarea securității datelor hibride, conținutul din spațiile pe care utilizatorii pilot le creează nu mai este accesibil după ce copiile în cache ale cheilor de criptare sunt înlocuite.

                                                                                                                                                  2

                                                                                                                                                  Trimiteți mesaje către noul spațiu.

                                                                                                                                                  3

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1. Pentru a verifica dacă un utilizator stabilește mai întâi un canal securizat la KMS, filtrați pe kms.data.method=create și kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Ar trebui să găsiți o intrare, cum ar fi următoarele (identificatori scurtați pentru lizibilitate):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Pentru a verifica dacă un utilizator solicită o cheie existentă din KMS, filtrați pe kms.data.method=retrieve și kms.data.type=KEY:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Pentru a verifica dacă un utilizator solicită crearea unei noi chei KMS, filtrați pe kms.data.method=create și kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Pentru a verifica dacă un utilizator solicită crearea unui nou obiect de resurse KMS (KRO) atunci când este creat un spațiu sau o altă resursă protejată, filtrați pe kms.data.method=create și kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Un indicator de stare din Control Hub vă arată dacă totul este bine cu implementarea securității datelor hibride. Pentru o alertare mai proactivă, înscrieți-vă pentru notificări prin e-mail. Veți fi notificat atunci când există alarme sau upgrade-uri de software care afectează serviciul.
                                                                                                                                                  1

                                                                                                                                                  În Control Hub, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Setări.

                                                                                                                                                  Apare pagina Setări securitate date hibride.
                                                                                                                                                  3

                                                                                                                                                  În secțiunea Notificări prin e-mail, tastați una sau mai multe adrese de e-mail separate prin virgule și apăsați Enter.

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  După ce ați activat un trial și ați adăugat setul inițial de utilizatori de trial, puteți adăuga sau elimina membri de trial în orice moment în timp ce procesul este activ.

                                                                                                                                                  Dacă eliminați un utilizator din trial, clientul utilizatorului va solicita chei și crearea de taste din KMS cloud în loc de KMS dvs. Dacă clientul are nevoie de o cheie stocată pe KMS-ul dvs., KMS-ul cloud o va prelua în numele utilizatorului.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory (în loc de această procedură) pentru a gestiona grupul de încercare, HdsTrialGroup; puteți vizualiza membrii grupului din Control Hub, dar nu îi puteți adăuga sau elimina.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Modul de încercare din zona de stare a serviciului, faceți clic pe Adăugare utilizatori sau faceți clic pe vizualizare și editare pentru a elimina utilizatorii din trial.

                                                                                                                                                  4

                                                                                                                                                  Introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a adăuga sau faceți clic pe X de către un ID de utilizator pentru a elimina utilizatorul din încercare. Apoi faceți clic Salvați .

                                                                                                                                                  Mutați de la încercare la producție

                                                                                                                                                  Când sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare, puteți trece la producție. Când treceți la producție, toți utilizatorii din organizație vor utiliza domeniul dvs. local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Nu puteți reveni la modul de încercare din producție decât dacă dezactivați serviciul ca parte a recuperării dezastrelor. Reactivarea serviciului vă cere să configurați o nouă încercare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Mutare în producție.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să mutați toți utilizatorii la producție.

                                                                                                                                                  Încheiați procesul fără a trece la producție

                                                                                                                                                  Dacă, în timpul perioadei de probă, decideți să nu continuați cu implementarea securității datelor hibride, puteți dezactiva securitatea datelor hibride, care încheie perioada de probă și mută utilizatorii de încercare înapoi la serviciile de securitate a datelor în cloud. Utilizatorii procesului vor pierde accesul la datele care au fost criptate în timpul procesului.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Dezactivare, faceți clic pe Dezactivare.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să dezactivați serviciul și să finalizați procesul.

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Utilizați sarcinile descrise aici pentru a gestiona implementarea securității datelor hibride.

                                                                                                                                                  Setați programul de upgrade al clusterului

                                                                                                                                                  Upgrade-urile de software pentru securitatea datelor hibride se fac automat la nivelul clusterului, ceea ce asigură că toate nodurile rulează întotdeauna aceeași versiune de software. Upgrade-urile se efectuează în conformitate cu programul de upgrade pentru cluster. Când un upgrade de software devine disponibil, aveți opțiunea de a actualiza manual clusterul înainte de ora programată de upgrade. Puteți seta un program specific de upgrade sau puteți utiliza programul implicit de 3:00 AM Daily Statele Unite ale Americii: America/Los Angeles. De asemenea, puteți alege să amânați un upgrade viitor, dacă este necesar.

                                                                                                                                                  Pentru a seta programul de upgrade:

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub .

                                                                                                                                                  2

                                                                                                                                                  Pe pagina Prezentare generală, în secțiunea Servicii hibride, selectați Securitatea datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Resurse de securitate a datelor hibride, selectați clusterul.

                                                                                                                                                  4

                                                                                                                                                  În panoul Prezentare generală din dreapta, în secțiunea Setări cluster, selectați numele clusterului.

                                                                                                                                                  5

                                                                                                                                                  Pe pagina Setări, în secțiunea Upgrade, selectați ora și fusul orar pentru programul de upgrade.

                                                                                                                                                  Notă: În cadrul fusului orar, se afișează următoarea dată și oră de upgrade disponibile. Puteți amâna upgrade-ul până în ziua următoare, dacă este necesar, făcând clic pe Amânare.

                                                                                                                                                  Modificarea configurației nodului

                                                                                                                                                  Ocazional, poate fi necesar să modificați configurația nodului Hybrid Data Security dintr-un motiv precum:
                                                                                                                                                  • Modificarea certificatelor x.509 din cauza expirării sau din alte motive.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm schimbarea nume domeniu CN al unui certificat. Domeniul trebuie să corespundă domeniului inițial utilizat pentru înregistrarea clusterului.

                                                                                                                                                  • Actualizarea setărilor bazei de date pentru a trece la o replică a bazei de date PostgreSQL sau Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm migrarea datelor de la PostgreSQL la Microsoft SQL Server sau invers. Pentru a comuta mediul bazei de date, începeți o nouă implementare a Hybrid Data Security.

                                                                                                                                                  • Crearea unei noi configurații pentru pregătirea unui nou centru de date.

                                                                                                                                                  De asemenea, din motive de securitate, Hybrid Data Security utilizează parole ale cont al serviciului care au o durată de viață de nouă luni. După ce instrumentul de configurare HDS generează aceste parole, le implementați în fiecare dintre nodurile HDS din fișierul de configurare ISO . Când parolele organizației dvs. se apropie de expirare, primiți o notificare de la echipa Webex prin care vă rugăm să resetați parola pentru contul computerului dvs. (E-mailul include textul „Utilizați API -ul contului de computer pentru a actualiza parola.”) Dacă parolele nu au expirat încă, instrumentul vă oferă două opțiuni:

                                                                                                                                                  • Resetare soft —Parolele vechi și noi sunt valabile până la 10 zile. Utilizați această perioadă pentru a înlocui treptat fișierul ISO pe noduri.

                                                                                                                                                  • Resetare hardware — Parolele vechi nu mai funcționează imediat.

                                                                                                                                                  Dacă parolele expiră fără resetare, acest lucru afectează serviciul HDS, necesitând o resetare hardware imediată și înlocuirea fișierului ISO pe toate nodurile.

                                                                                                                                                  Utilizați această procedură pentru a genera un nou fișier ISO de configurare și a-l aplica clusterului dvs.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în 1.e. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Aveți nevoie de o copie a fișierului ISO de configurare curentă pentru a genera o nouă configurație. ISO conține cheia principală de criptare a bazei de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de ISO când efectuați modificări de configurare, inclusiv date de autentificare în baza de date, actualizări de certificate sau modificări ale politicii de autorizare.

                                                                                                                                                  1

                                                                                                                                                  Utilizând Docker pe un computer local, rulați Instrumentul de configurare HDS.

                                                                                                                                                  1. În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2. Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. La solicitarea parolei, introduceți acest hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Asigurați-vă că ați extras cel mai recent instrument de configurare pentru această procedură. Versiunile instrumentului create înainte de 22 februarie 2018 nu au ecrane de resetare a parolei.

                                                                                                                                                  5. Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    • În mediile obișnuite fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În medii obișnuite cu un HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile FedRAMP fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6. Utilizați un browser pentru a vă conecta la localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  7. Când vi se solicită, introduceți datele de conectare pentru client Control Hub și apoi faceți clic Acceptați pentru a continua.

                                                                                                                                                  8. Importați fișierul ISO de configurație curentă.

                                                                                                                                                  9. Urmați instrucțiunile pentru a finaliza instrumentul și descărcați fișierul actualizat.

                                                                                                                                                    Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  10. Creați o copie de rezervă a fișierului actualizat într-un alt centru de date.

                                                                                                                                                  2

                                                                                                                                                  Dacă aveți un singur nod HDS care rulează , creați un nou VM nod Hybrid Data Security și înregistrați-l utilizând noul fișier ISO de configurare. Pentru instrucțiuni mai detaliate, consultați Creați și înregistrați mai multe noduri.

                                                                                                                                                  1. Instalați OVA gazdă HDS.

                                                                                                                                                  2. Configurați VM HDS .

                                                                                                                                                  3. Montați fișier de configurare actualizat .

                                                                                                                                                  4. Înregistrați noul nod în Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pentru nodurile HDS existente care rulează fișierul de fișier de configurare mai vechi , montați fișierul ISO . Efectuați următoarea procedură pe fiecare nod pe rând, actualizând fiecare nod înainte de a opri următorul nod:

                                                                                                                                                  1. Opriți mașină virtuală.

                                                                                                                                                  2. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO și navigați până la locația de unde ați descărcat noul fișier ISO de configurare.

                                                                                                                                                  4. Verificați Conectați la pornire .

                                                                                                                                                  5. Salvați modificările și porniți mașină virtuală.

                                                                                                                                                  4

                                                                                                                                                  Repetați pasul 3 pentru a înlocui configurația pe fiecare nod rămas care rulează configurația veche.

                                                                                                                                                  Dezactivați Modul De Rezoluție DNS Externă Blocat

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. Dacă serverul DNS al nodului nu poate rezolva numele DNS publice, nodul intră automat în modul de Rezoluție DNS Externă Blocată.

                                                                                                                                                  Dacă nodurile dvs. sunt capabile să rezolve numele DNS publice prin intermediul serverelor DNS interne, puteți dezactiva acest mod prin reactivarea testului de conexiune proxy pe fiecare nod.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Asigurați-vă că serverele DNS interne pot rezolva numele DNS publice și că nodurile dvs. pot comunica cu acestea.
                                                                                                                                                  1

                                                                                                                                                  Într-un browser web, deschideți interfața nodului de securitate a datelor hibride (adresă IP/configurare, de exemplu, https://192.0.2.0/setup), introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Prezentare generală (pagina implicită).

                                                                                                                                                  Când este activat, Rezoluție DNS externă blocată este setat la Da .

                                                                                                                                                  3

                                                                                                                                                  Accesați pagina Trust Store & Proxy .

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a avut succes, nodul nu a putut ajunge la serverul DNS și va rămâne în acest mod. În caz contrar, după ce reporniți nodul și reveniți la pagina Prezentare generală , Rezoluția DNS externă blocată trebuie setată la nr.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Repetați testul conexiunii proxy pe fiecare nod din clusterul de securitate a datelor hibride.

                                                                                                                                                  Eliminați un nod

                                                                                                                                                  Utilizați această procedură pentru a elimina un nod de securitate a datelor hibride din cloudul Webex. După ce eliminați nodul din cluster, ștergeți mașina virtuală pentru a preveni accesul suplimentar la datele dvs. de securitate.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi și pentru a dezactiva mașina virtuală.

                                                                                                                                                  2

                                                                                                                                                  Eliminați nodul:

                                                                                                                                                  1. Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2. Pe cardul de securitate a datelor hibride, faceți clic pe Vizualizare toate pentru a afișa pagina Resurse de securitate a datelor hibride.

                                                                                                                                                  3. Selectați clusterul pentru a afișa panoul de Prezentare generală.

                                                                                                                                                  4. Faceți clic pe lista de noduri deschise.

                                                                                                                                                  5. În fila Noduri, selectați nodul pe care doriți să îl eliminați.

                                                                                                                                                  6. Faceți clic pe Acțiuni > Deregister node.

                                                                                                                                                  3

                                                                                                                                                  În clientul vSphere, ștergeți VM. (În panoul de navigare din stânga, faceți clic dreapta pe VM și faceți clic pe Ștergere.)

                                                                                                                                                  Dacă nu ștergeți VM, nu uitați să dezasamblați fișierul de configurare ISO. Fără fișierul ISO, nu puteți utiliza VM pentru a accesa datele de securitate.

                                                                                                                                                  Recuperare dezastre utilizând Centrul de date standby

                                                                                                                                                  Cel mai important serviciu pe care îl oferă clusterul de securitate a datelor hibride este crearea și stocarea de taste utilizate pentru criptarea mesajelor și a altor conținuturi stocate în cloudul Webex. Pentru fiecare utilizator din cadrul organizației care este atribuit securității datelor hibride, noile solicitări de creare a cheii sunt direcționate către cluster. Clusterul este, de asemenea, responsabil pentru returnarea cheilor pe care le-a creat oricărui utilizator autorizat să le recupereze, de exemplu, membrii unui spațiu de conversație.

                                                                                                                                                  Deoarece clusterul îndeplinește funcția critică de furnizare a acestor chei, este imperativ ca clusterul să rămână în funcțiune și să fie menținute backup-uri corespunzătoare. Pierderea bazei de date Hybrid Data Security sau a configurației ISO utilizate pentru schemă va duce la PIERDEREA INRECUPERABILĂ a conținutului clientului. Următoarele practici sunt obligatorii pentru a preveni o astfel de pierdere:

                                                                                                                                                  Dacă un dezastru face ca implementarea HDS în centrul de date principal să devină indisponibilă, urmați această procedură pentru a eșua manual la centrul de date standby.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos sau eliminați passiveMode configurare pentru a activa nodul. Nodul poate gestiona traficul odată ce acesta este configurat.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă nodurile centrului de date standby nu sunt în mod pasiv. „KMS configurat în mod pasiv” nu trebuie să apară în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După eșec, dacă centrul principal de date devine din nou activ, plasați centrul de date în așteptare în modul pasiv, urmând pașii descriși în Configurarea centrului de date în așteptare pentru recuperarea dezastrelor.

                                                                                                                                                  (Opțional) Dezasamblare ISO După configurarea HDS

                                                                                                                                                  Configurația standard HDS rulează cu ISO montat. Dar, unii clienți preferă să nu lase fișierele ISO montate în mod continuu. Puteți demonta fișierul ISO după ce toate nodurile HDS preiau noua configurație.

                                                                                                                                                  Utilizați în continuare fișierele ISO pentru a face modificări de configurare. Când creați un nou ISO sau actualizați un ISO prin Instrumentul de configurare, trebuie să montați ISO actualizat pe toate nodurile HDS. După ce toate nodurile dvs. au preluat modificările de configurare, puteți demonta din nou ISO cu această procedură.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Actualizați toate nodurile HDS la versiunea 2021.01.22.4720 sau o versiune ulterioară.

                                                                                                                                                  1

                                                                                                                                                  Închideți unul dintre nodurile HDS.

                                                                                                                                                  2

                                                                                                                                                  În dispozitivul server vCenter, selectați nodul HDS.

                                                                                                                                                  3

                                                                                                                                                  Alegeți Editați setările > CD/DVD drive și debifați fișierul ISO Datastore.

                                                                                                                                                  4

                                                                                                                                                  Alimentați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 20 de minute.

                                                                                                                                                  5

                                                                                                                                                  Repetați pentru fiecare nod HDS la rândul său.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Vizualizare alerte și depanare

                                                                                                                                                  O implementare a securității datelor hibride este considerată indisponibilă dacă toate nodurile din cluster sunt inaccesibile sau clusterul funcționează atât de lent încât solicită timp de excludere. Dacă utilizatorii nu pot ajunge la clusterul dvs. de securitate a datelor hibride, aceștia experimentează următoarele simptome:

                                                                                                                                                  • Nu se pot crea spații noi (nu se pot crea chei noi)

                                                                                                                                                  • Mesajele și titlurile spațiului nu pot fi decriptate pentru:

                                                                                                                                                    • Utilizatori noi adăugați într-un spațiu (nu se pot prelua tastele)

                                                                                                                                                    • Utilizatorii existenți dintr-un spațiu care utilizează un client nou (nu pot prelua tastele)

                                                                                                                                                  • Utilizatorii existenți într-un spațiu vor continua să ruleze cu succes atâta timp cât clienții lor au un cache al cheilor de criptare

                                                                                                                                                  Este important să monitorizați în mod corespunzător clusterul de securitate a datelor hibride și să adresați imediat orice alerte pentru a evita perturbarea serviciului.

                                                                                                                                                  Alerte

                                                                                                                                                  Dacă există o problemă cu configurarea securității datelor hibride, Control Hub afișează alerte administratorului organizației și trimite e-mailuri la adresa de e-mail configurată. Alertele acoperă multe scenarii comune.

                                                                                                                                                  Tabelul 1. Probleme comune și pașii pentru a le rezolva

                                                                                                                                                  Alerte

                                                                                                                                                  Acțiune

                                                                                                                                                  Eșecul accesului la baza de date locală.

                                                                                                                                                  Verificați erorile bazei de date sau problemele de rețea locale.

                                                                                                                                                  Eșecul conexiunii la baza de date locală.

                                                                                                                                                  Verificați dacă serverul bazei de date este disponibil, iar acreditările contului de serviciu corespunzător au fost utilizate în configurația nodului.

                                                                                                                                                  Eșecul accesului la servicii în cloud.

                                                                                                                                                  Verificați dacă nodurile pot accesa serverele Webex astfel cum sunt specificate în cerințele de conectivitate externă.

                                                                                                                                                  Reînnoirea înregistrării serviciului în cloud.

                                                                                                                                                  S-a renunțat la înscrierea în serviciile cloud. Reînnoirea înregistrării este în curs.

                                                                                                                                                  Înscrierea în serviciul Cloud a scăzut.

                                                                                                                                                  Înscrierea la serviciile cloud s-a încheiat. Serviciul se închide.

                                                                                                                                                  Serviciul nu este încă activat.

                                                                                                                                                  Activați un proces sau finalizați mutarea procesului la producție.

                                                                                                                                                  Domeniul configurat nu corespunde certificatului serverului.

                                                                                                                                                  Asigurați-vă că certificatul serverului dvs. corespunde domeniului de activare a serviciului configurat.

                                                                                                                                                  Cauza cea mai probabilă este că certificatul CN a fost modificat recent și este acum diferit de CN care a fost utilizat în timpul configurării inițiale.

                                                                                                                                                  Nu s-a reușit autentificarea la serviciile cloud.

                                                                                                                                                  Verificați acuratețea și posibila expirare a acreditărilor contului de serviciu.

                                                                                                                                                  Nu s-a reușit deschiderea fișierului local de keystore.

                                                                                                                                                  Verificați integritatea și precizia parolei în fișierul de keystore local.

                                                                                                                                                  Certificatul serverului local este nevalid.

                                                                                                                                                  Verificați data de expirare a certificatului serverului și confirmați că acesta a fost eliberat de o autoritate de certificare de încredere.

                                                                                                                                                  Nu se pot posta măsurători.

                                                                                                                                                  Verificați accesul la rețeaua locală la serviciile cloud externe.

                                                                                                                                                  directorul /media/configdrive/hds nu există.

                                                                                                                                                  Verificați configurația de montare ISO pe gazda virtuală. Verificați dacă fișierul ISO există, dacă este configurat să fie montat pe repornire și dacă se montează cu succes.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Utilizați următoarele orientări generale atunci când depanați problemele legate de securitatea datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Revizuiți Control Hub pentru orice alerte și remediați orice elemente pe care le găsiți acolo.

                                                                                                                                                  2

                                                                                                                                                  Revizuiți ieșirea serverului syslog pentru activitatea din implementarea securității datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Contactați asistența Cisco.

                                                                                                                                                  Alte note

                                                                                                                                                  Probleme cunoscute pentru securitatea datelor hibride

                                                                                                                                                  • Dacă închideți clusterul de securitate a datelor hibride (prin ștergerea acestuia în Control Hub sau prin închiderea tuturor nodurilor), pierdeți fișierul ISO de configurare sau pierdeți accesul la baza de date Keystore, utilizatorii aplicației Webex nu mai pot utiliza spații din lista lor de persoane care au fost create cu tastele din KMS. Acest lucru este valabil atât pentru operațiunile de încercare, cât și pentru operațiunile de producție. În prezent, nu avem un loc de muncă sau o soluție pentru această problemă și vă solicităm să nu închideți serviciile HDS odată ce acestea gestionează conturile de utilizator active.

                                                                                                                                                  • Un client care are o conexiune ECDH existentă la un KMS menține acea conexiune pentru o perioadă de timp (probabil o oră). Atunci când un utilizator devine membru al unui proces de securitate a datelor hibride, clientul utilizatorului continuă să utilizeze conexiunea ECDH existentă până la expirarea acesteia. Alternativ, utilizatorul se poate deconecta și reconecta la aplicația Aplicației Webex pentru a actualiza locația pe care aplicația o contactează pentru cheile de criptare.

                                                                                                                                                    Același comportament apare atunci când mutați un proces la producție pentru organizație. Toți utilizatorii non-trial cu conexiuni ECDH existente la serviciile anterioare de securitate a datelor vor continua să utilizeze aceste servicii până când conexiunea ECDH este renegociată (prin expirare sau prin deconectare și reconectare).

                                                                                                                                                  Utilizați OpenSSL pentru a genera un fișier PKCS12

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • OpenSSL este un instrument care poate fi folosit pentru a face fișierul PKCS12 în formatul adecvat pentru încărcare în instrumentul de configurare HDS. Există alte modalități de a face acest lucru, și nu sprijinim sau promovăm un mod peste altul.

                                                                                                                                                  • Dacă alegeți să utilizați OpenSSL, oferim această procedură ca ghid pentru a vă ajuta să creați un fișier care îndeplinește cerințele certificatului X.509 din X.509 Cerințe de certificat. Înțelegeți aceste cerințe înainte de a continua.

                                                                                                                                                  • Instalați OpenSSL într-un mediu acceptat. Consultați https://www.openssl.org pentru software și documentație.

                                                                                                                                                  • Creați o tastă privată.

                                                                                                                                                  • Începeți această procedură atunci când primiți certificatul de server de la Autoritatea dvs. de certificare (CA).

                                                                                                                                                  1

                                                                                                                                                  Când primiți certificatul de server de la CA, salvați-l ca hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Afișați certificatul ca text și verificați detaliile.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizați un editor de text pentru a crea un fișier de pachet de certificate numit hdsnode-bundle.pem. Fișierul pachet trebuie să includă certificatul serverului, orice certificate CA intermediare și certificatele CA rădăcină, în formatul de mai jos:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creați fișierul .p12 cu numele prietenos kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Verificați detaliile certificatului serverului.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Introduceți o parolă la solicitarea de criptare a cheii private, astfel încât aceasta să fie listată în ieșire. Apoi, verificați dacă cheia privată și primul certificat includ liniile friendlyName: kms-private-key.

                                                                                                                                                    Exemplu:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Reveniți la Completarea Condițiilor prealabile pentru securitatea datelor hibride. Veţi utiliza hdsnode.p12 fișier și parola pe care ați setat-o pentru acesta, în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Puteți reutiliza aceste fișiere pentru a solicita un nou certificat atunci când certificatul original expiră.

                                                                                                                                                  Trafic între nodurile HDS și cloud

                                                                                                                                                  Trafic colecție metrică de ieșire

                                                                                                                                                  Nodurile de securitate a datelor hibride trimit anumite măsurători în cloudul Webex. Acestea includ măsurători de sistem pentru înălțimea maximă, înălțimea utilizată, sarcina CPU și numărul de fire; măsurători pe fire sincrone și asincronice; măsurători pe alerte care implică un prag de conexiuni de criptare, latență sau o lungime a cozii de solicitare; măsurători pe placa de date; și măsurători de conexiune de criptare. Nodurile trimit material cheie criptat printr-un canal în afara benzii (separat de solicitare).

                                                                                                                                                  Trafic de intrare

                                                                                                                                                  Nodurile de securitate a datelor hibride primesc următoarele tipuri de trafic de intrare din cloudul Webex:

                                                                                                                                                  • Cereri de criptare de la clienți, care sunt rutate de serviciul de criptare

                                                                                                                                                  • Actualizări la software-ul nodului

                                                                                                                                                  Configurați proxy-urile Squid pentru securitatea datelor hibride

                                                                                                                                                  Șoseta web nu se poate Conecta Prin Proxy Squid

                                                                                                                                                  Proxy-urile Squid care inspectează traficul HTTPS pot interfera cu stabilirea websocket ( wss:) conexiuni care necesită Securitatea datelor hibride. Aceste secțiuni oferă îndrumări cu privire la modul de configurare a diferitelor versiuni de Squid pentru a ignora wss: trafic pentru buna funcționare a serviciilor.

                                                                                                                                                  Squid 4 și 5

                                                                                                                                                  Adăugați on_unsupported_protocol directivă privind squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Squid 3.5.27

                                                                                                                                                  Am testat cu succes Securitatea datelor hibride cu următoarele reguli adăugate la squid.conf. Aceste reguli se pot modifica pe măsură ce dezvoltăm caracteristici și actualizăm cloudul Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefață

                                                                                                                                                  Informații noi și modificate

                                                                                                                                                  Dată

                                                                                                                                                  Modificări efectuate

                                                                                                                                                  20 octombrie 2023

                                                                                                                                                  07 august 2023

                                                                                                                                                  23 mai 2023

                                                                                                                                                  06 decembrie 2022

                                                                                                                                                  23 noiembrie 2022

                                                                                                                                                  13 octombrie 2021

                                                                                                                                                  Docker Desktop trebuie să ruleze un program de configurare înainte de a putea instala noduri HDS. Consultați Cerințele de desktop ale Docker.

                                                                                                                                                  24 iunie 2021

                                                                                                                                                  Rețineți că puteți reutiliza fișierul cu tastatură privată și CSR pentru a solicita un alt certificat. Consultați Utilizarea OpenSSL pentru a genera un fișier PKCS12 pentru detalii.

                                                                                                                                                  30 aprilie 2021

                                                                                                                                                  A schimbat cerința VM pentru spațiul local pe hard disk la 30 GB. Consultați Cerințele Gazdei Virtuale pentru detalii.

                                                                                                                                                  24 februarie 2021

                                                                                                                                                  Instrumentul de configurare HDS poate rula acum în spatele unui proxy. Consultați Creați un ISO de configurare pentru gazdele HDS pentru detalii.

                                                                                                                                                  2 februarie 2021

                                                                                                                                                  HDS poate rula acum fără un fișier ISO montat. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  11 ianuarie 2021

                                                                                                                                                  Au fost adăugate informații despre instrumentul de configurare HDS și proxy-uri pentru a crea un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  13 octombrie 2020

                                                                                                                                                  Fișiere de instalare Descărcare actualizate.

                                                                                                                                                  8 octombrie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu comenzi pentru mediile FedRAMP.

                                                                                                                                                  14 august 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu modificări ale procesului de conectare.

                                                                                                                                                  5 august 2020

                                                                                                                                                  Actualizat Testați implementarea securității datelor hibride pentru modificări ale mesajelor jurnal.

                                                                                                                                                  S-au actualizat Cerințele Gazdei Virtuale pentru a elimina numărul maxim de gazde.

                                                                                                                                                  16 iunie 2020

                                                                                                                                                  Actualizat Eliminați un nod pentru modificările din interfața cu utilizatorul Control Hub.

                                                                                                                                                  4 iunie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru modificările din Setările avansate pe care le-ați putea seta.

                                                                                                                                                  29 mai 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru a afișa puteți utiliza, de asemenea, TLS cu baze de date SQL Server, modificări de interfață de utilizator și alte clarificări.

                                                                                                                                                  5 mai 2020

                                                                                                                                                  Actualizat Cerințele Gazdei Virtuale pentru a afișa noua cerință a ESXi 6.5.

                                                                                                                                                  21 aprilie 2020

                                                                                                                                                  Actualizat Cerințe de conectivitate externă cu noi gazde CI din America.

                                                                                                                                                  Aprilie 1, 2020

                                                                                                                                                  Actualizat Cerințele de conectivitate externă cu informații despre gazdele regionale CI.

                                                                                                                                                  20 februarie 2020Actualizat Creați un ISO de configurare pentru gazdele HDS cu informații despre noul ecran opțional de setări avansate din instrumentul de configurare HDS.
                                                                                                                                                  4 februarie 2020Cerințe server proxy actualizate.
                                                                                                                                                  16 decembrie 2019A clarificat cerința ca modul de rezoluție DNS extern blocat să funcționeze în cerințele serverului proxy.
                                                                                                                                                  19 noiembrie 2019

                                                                                                                                                  Au fost adăugate informații despre modul de rezoluție DNS extern blocat în următoarele secțiuni:

                                                                                                                                                  8 noiembrie 2019

                                                                                                                                                  Acum puteți configura setările de rețea pentru un nod în timp ce implementați OVA, mai degrabă decât ulterior.

                                                                                                                                                  Actualizat în consecință următoarele secțiuni:


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  6 septembrie 2019

                                                                                                                                                  S-a adăugat standardul SQL Server la cerințele serverului bazei de date.

                                                                                                                                                  august 29, 2019A fost adăugată Configurarea proxy-urilor Squid pentru securitatea datelor hibride , cu îndrumări privind configurarea proxy-urilor Squid pentru a ignora traficul websocket pentru funcționarea corespunzătoare.
                                                                                                                                                  20 august 2019

                                                                                                                                                  Secțiuni adăugate și actualizate pentru a acoperi asistența proxy pentru comunicațiile nodului de securitate a datelor hibride în cloudul Webex.

                                                                                                                                                  Pentru a accesa doar conținutul de asistență proxy pentru o implementare existentă, consultați Asistența proxy pentru securitatea datelor hibride și articolul de ajutor Webex Video Mesh .

                                                                                                                                                  13 iunie 2019A fost actualizat Fluxul de activități de producție cu un memento pentru a sincroniza HdsTrialGroup obiectul de grup înainte de a începe un trial dacă organizația dvs. utilizează sincronizarea directorului.
                                                                                                                                                  6 martie 2019
                                                                                                                                                  februarie 28, 2019
                                                                                                                                                  • A corectat cantitatea de spațiu pe hard disk local pe server pe care ar trebui să o setați deoparte atunci când pregătiți gazdele virtuale care devin nodurile de securitate a datelor hibride, de la 50-GB la 20-GB, pentru a reflecta dimensiunea discului pe care OVA îl creează.

                                                                                                                                                  26 februarie 2019
                                                                                                                                                  • Nodurile de securitate a datelor hibride acceptă acum conexiuni criptate cu serverele bazei de date PostgreSQL și conexiuni criptate de conectare la un server syslog TLS capabil. Actualizat Creați un ISO de configurare pentru gazdele HDS cu instrucțiuni.

                                                                                                                                                  • URL-urile de destinație au fost eliminate din tabelul „Cerințe de conectivitate la internet pentru nodul de securitate a datelor hibride VMs”. Tabelul se referă acum la lista menținută în tabelul „URL-uri suplimentare pentru serviciile hibride Webex Teams” din Cerințele rețelei pentru serviciile Webex Teams.

                                                                                                                                                  24 ianuarie 2019

                                                                                                                                                  • Securitatea datelor hibride acceptă acum Microsoft SQL Server ca bază de date. SQL Server întotdeauna activat (întotdeauna pe clusterele de eșec și întotdeauna pe grupurile de disponibilitate) este acceptat de driverele JDBC care sunt utilizate în securitatea datelor hibride. Conținut adăugat legat de implementarea cu SQL Server.


                                                                                                                                                     

                                                                                                                                                    Asistența pentru serverul Microsoft SQL este destinată numai noilor implementări ale securității datelor hibride. În prezent, nu acceptăm migrarea datelor de la PostgreSQL la serverul Microsoft SQL în cadrul unei implementări existente.

                                                                                                                                                  noiembrie 5, 2018
                                                                                                                                                  19 octombrie 2018

                                                                                                                                                  31 iulie 2018

                                                                                                                                                  21 mai 2018

                                                                                                                                                  Terminologia modificată pentru a reflecta rebranding-ul Cisco Spark:

                                                                                                                                                  • Securitatea datelor hibride Cisco Spark este acum Securitatea datelor hibride.

                                                                                                                                                  • Aplicația Cisco Spark este acum aplicația Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud este acum cloudul Webex.

                                                                                                                                                  11 aprilie 2018
                                                                                                                                                  22 februarie 2018
                                                                                                                                                  februarie 15, 2018
                                                                                                                                                  • În tabelul X.509 Cerințe privind certificatul , s-a specificat că certificatul nu poate fi un certificat de carte de vizită și că KMS utilizează domeniul CN, nu orice domeniu definit în câmpurile SAN x.509v3.

                                                                                                                                                  ianuarie 18, 2018

                                                                                                                                                  noiembrie 2, 2017

                                                                                                                                                  • Sincronizarea directorului clarificată a HdsTrialGroup.

                                                                                                                                                  • Fix instrucțiuni pentru încărcarea fișierului de configurare ISO pentru montare la nodurile VM.

                                                                                                                                                  18 august 2017

                                                                                                                                                  Prima publicare

                                                                                                                                                  Începeți cu securitatea datelor hibride

                                                                                                                                                  Prezentare generală a securității datelor hibride

                                                                                                                                                  Începând cu prima zi, securitatea datelor a fost accentul principal în proiectarea Aplicației Webex. Piatra de temelie a acestei securități este criptarea conținutului end-to-end, activată de clienții aplicației Webex care interacționează cu Serviciul de gestionare a cheilor (KMS). KMS este responsabil pentru crearea și gestionarea cheilor criptografice pe care clienții le utilizează pentru a cripta și decripta în mod dinamic mesajele și fișierele.

                                                                                                                                                  În mod implicit, toți clienții Aplicației Webex primesc criptare end-to-end cu chei dinamice stocate în KMS cloud, în domeniul de securitate al Cisco. Hybrid Data Security mută KMS și alte funcții legate de securitate în centrul de date la nivel de întreprindere dvs., astfel încât nimeni în afară de dvs. să nu dețină cheile conținutului dvs. criptat.

                                                                                                                                                  Arhitectură Realm de securitate

                                                                                                                                                  Arhitectura cloud Webex separă diferite tipuri de servicii în domenii separate sau domenii de încredere, după cum este descris mai jos.

                                                                                                                                                  Domenii de separare (fără securitate hibridă a datelor)

                                                                                                                                                  Pentru a înțelege în continuare securitatea datelor hibride, să ne uităm mai întâi la acest caz cloud pur, în care Cisco oferă toate funcțiile din domeniile sale cloud. Serviciul de identitate, singurul loc în care utilizatorii pot fi direct corelați cu informațiile lor personale, cum ar fi adresa de e-mail, este separat în mod logic și fizic de domeniul de securitate din centrul de date B. Ambele sunt, la rândul lor, separate de domeniul în care conținutul criptat este stocat în cele din urmă, în centrul de date C.

                                                                                                                                                  În această diagramă, clientul este aplicația Webex care rulează pe laptopul unui utilizator și s-a autentificat cu serviciul de identitate. Când utilizatorul compune un mesaj pentru a trimite într-un spațiu, au loc următorii pași:

                                                                                                                                                  1. Clientul stabilește o conexiune securizată cu serviciul de gestionare a cheilor (KMS), apoi solicită o cheie pentru a cripta mesajul. Conexiunea securizată utilizează ECDH, iar KMS criptează cheia utilizând o cheie principală AES-256.

                                                                                                                                                  2. Mesajul este criptat înainte de a părăsi clientul. Clientul îl trimite la serviciul de indexare, care creează indexuri de căutare criptate pentru a ajuta în căutările viitoare pentru conținut.

                                                                                                                                                  3. Mesajul criptat este trimis serviciului de conformitate pentru verificări de conformitate.

                                                                                                                                                  4. Mesajul criptat este stocat în domeniul de stocare.

                                                                                                                                                  Când implementați Securitatea datelor hibride, mutați funcțiile domeniului de securitate (KMS, indexare și conformitate) în centrul dvs. de date local. Celelalte servicii cloud care alcătuiesc Webex (inclusiv stocarea identității și a conținutului) rămân în domeniile Cisco.

                                                                                                                                                  Colaborarea cu Alte Organizații

                                                                                                                                                  Utilizatorii din organizația dvs. pot utiliza în mod regulat Aplicația Webex pentru a colabora cu participanți externi din alte organizații. Când unul dintre utilizatorii dvs. solicită o cheie pentru un spațiu care este deținut de organizația dvs. (deoarece a fost creat de unul dintre utilizatorii dvs.), KMS trimite cheia către client printr-un canal ECDH securizat. Cu toate acestea, atunci când o altă organizație deține cheia pentru spațiu, KMS-ul direcționează cererea către cloudul Webex printr-un canal ECDH separat pentru a obține cheia de la KMS-ul corespunzător și apoi returnează cheia către utilizatorul dvs. pe canalul original.

                                                                                                                                                  Serviciul KMS care rulează pe Org A validează conexiunile la KMS în alte organizații utilizând x.509 certificate PKI. Consultați Pregătiți-vă mediul pentru detalii despre generarea unui certificat x.509 pe care să-l utilizați cu implementarea securității datelor hibride.

                                                                                                                                                  Așteptări pentru implementarea securității datelor hibride

                                                                                                                                                  O implementare a securității datelor hibride necesită un angajament semnificativ din partea clienților și o conștientizare a riscurilor pe care le implică deținerea cheilor de criptare.

                                                                                                                                                  Pentru a implementa securitatea datelor hibride, trebuie să furnizați:

                                                                                                                                                  Pierderea completă a configurației ISO pe care o construiți pentru securitatea datelor hibride sau a bazei de date pe care o furnizați va duce la pierderea tastelor. Pierderea tastelor împiedică utilizatorii să decripteze conținutul spațiului și alte date criptate în Aplicația Webex. Dacă se întâmplă acest lucru, puteți construi o nouă implementare, dar numai conținut nou va fi vizibil. Pentru a evita pierderea accesului la date, trebuie:

                                                                                                                                                  • Gestionați backup-ul și recuperarea bazei de date și configurația ISO.

                                                                                                                                                  • Fiți pregătiți să efectuați recuperarea rapidă a dezastrelor dacă apare o catastrofă, cum ar fi defectarea discului de bază de date sau dezastrul centrului de date.


                                                                                                                                                   

                                                                                                                                                  Nu există niciun mecanism pentru a muta cheile înapoi în Cloud după o implementare HDS.

                                                                                                                                                  Proces de configurare la nivel înalt

                                                                                                                                                  Acest document acoperă configurarea și gestionarea implementării securității datelor hibride:

                                                                                                                                                  • Configurați securitatea datelor hibride—Aceasta include pregătirea infrastructurii necesare și instalarea software-ului de securitate a datelor hibride, testarea implementării dvs. cu un subset de utilizatori în modul de încercare și, odată ce testarea dvs. este finalizată, trecerea la producție. Aceasta convertește întreaga organizație pentru a utiliza clusterul dvs. de securitate a datelor hibride pentru funcțiile de securitate.

                                                                                                                                                    Fazele de configurare, încercare și producție sunt acoperite în detaliu în următoarele trei capitole.

                                                                                                                                                  • Mențineți implementarea securității datelor hibride—cloud-ul Webex oferă automat upgrade-uri în curs. Departamentul dvs. IT poate oferi un singur nivel de asistență pentru această implementare și poate angaja asistență Cisco după cum este necesar. Puteți utiliza notificări pe ecran și puteți configura alerte pe bază de e-mail în Control Hub.

                                                                                                                                                  • Înțelegerea alertelor comune, a pașilor de depanare și a problemelor cunoscute—Dacă întâmpinați probleme la implementarea sau utilizarea securității datelor hibride, ultimul capitol din acest ghid și apendicele Probleme cunoscute vă pot ajuta să determinați și să remediați problema.

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  În cadrul centrului dvs. de date al întreprinderii, implementați Securitatea datelor hibride ca un singur grup de noduri pe gazde virtuale separate. Nodurile comunică cu cloudul Webex prin prize web securizate și HTTP securizat.

                                                                                                                                                  În timpul procesului de instalare, vă oferim fișierul OVA pentru a configura dispozitivul virtual pe VMs pe care le furnizați. Utilizați instrumentul de configurare HDS pentru a crea un fișier ISO de configurare a clusterului personalizat pe care îl montați pe fiecare nod. Clusterul de securitate a datelor hibride utilizează serverul Syslogd furnizat și baza de date PostgreSQL sau Microsoft SQL Server. (Configurați detaliile conexiunii Syslogd și a bazei de date în Instrumentul de configurare HDS.)

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  Numărul minim de noduri pe care le puteți avea într-un cluster este de două. Vă recomandăm cel puțin trei, și puteți avea până la cinci. Existența mai multor noduri asigură faptul că serviciul nu este întrerupt în timpul unui upgrade de software sau al unei alte activități de întreținere pe un nod. (Cloudul Webex actualizează doar un nod la un moment dat.)

                                                                                                                                                  Toate nodurile dintr-un cluster accesează aceeași bază de date cu tastatură și înregistrează activitatea pe același server syslog. Nodurile în sine sunt apatride și se ocupă de solicitările cheie în modul rotund-robin, așa cum este direcționat de cloud.

                                                                                                                                                  Nodurile devin active atunci când le înregistrați în Control Hub. Pentru a scoate un nod individual din serviciu, îl puteți desînregistra și apoi îl puteți reînregistra, dacă este necesar.

                                                                                                                                                  Sprijinim doar un singur cluster per organizație.

                                                                                                                                                  Mod de încercare pentru securitatea datelor hibride

                                                                                                                                                  După configurarea unei implementări de securitate a datelor hibride, încercați mai întâi cu un set de utilizatori pilot. În timpul perioadei de încercare, acești utilizatori utilizează domeniul local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Ceilalți utilizatori continuă să utilizeze domeniul de securitate cloud.

                                                                                                                                                  Dacă decideți să nu continuați implementarea în timpul perioadei de încercare și să dezactivați serviciul, utilizatorii pilot și orice utilizatori cu care au interacționat prin crearea de spații noi în timpul perioadei de încercare vor pierde accesul la mesaje și conținut. Aceștia vor vedea „Acest mesaj nu poate fi decriptat” în aplicația Webex.

                                                                                                                                                  Dacă sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare și sunteți pregătit să extindeți Securitatea datelor hibride la toți utilizatorii dvs., mutați implementarea în producție. Utilizatorii pilot continuă să aibă acces la cheile care au fost utilizate în timpul încercării. Cu toate acestea, nu se poate muta înapoi și înainte între modul de producție și procesul inițial. Dacă trebuie să dezactivați serviciul, cum ar fi pentru a efectua recuperarea dezastrelor, atunci când reactivați, trebuie să începeți o nouă încercare și să configurați setul de utilizatori pilot pentru noua încercare înainte de a reveni la modul de producție. Dacă utilizatorii păstrează accesul la date în acest moment depinde de faptul dacă ați menținut cu succes copii de rezervă ale stocului de date cheie și ale fișierului de configurare ISO pentru nodurile de securitate a datelor hibride din cluster.

                                                                                                                                                  Centrul de date standby pentru recuperarea dezastrelor

                                                                                                                                                  În timpul implementării, ați configurat un centru de date standby securizat. În cazul unui dezastru al unui centru de date, puteți eșua manual implementarea în centrul de date standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Eşec manual la centrul de date standby

                                                                                                                                                  Bazele de date ale centrelor de date active și standby sunt în sincronizare unele cu altele, ceea ce va reduce la minimum timpul necesar pentru a efectua eșecul. Fișierul ISO al centrului de date standby este actualizat cu configurații suplimentare care asigură că nodurile sunt înregistrate în organizație, dar nu vor gestiona traficul. Prin urmare, nodurile centrului de date standby rămân întotdeauna la zi cu cea mai recentă versiune de software HDS.


                                                                                                                                                   

                                                                                                                                                  Nodurile active de securitate a datelor hibride trebuie să fie întotdeauna în același centru de date ca serverul de bază de date activă.

                                                                                                                                                  Configurarea Centrului de date standby pentru recuperarea dezastrelor

                                                                                                                                                  Urmați pașii de mai jos pentru a configura fișierul ISO al centrului de date standby:

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Centrul de date standby trebuie să reflecte mediul de producție al VMs și o bază de date PostgreSQL sau Microsoft SQL Server de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs. (Consultați Standby Data Center for Disaster Recovery pentru o prezentare generală a acestui model de eșec.)

                                                                                                                                                  • Asigurați-vă că sincronizarea bazei de date este activată între baza de date a nodurilor de cluster active și pasive.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Fișierul ISO trebuie să fie o copie a fișierului ISO original al centrului de date principal pe care urmează să fie făcute următoarele actualizări de configurare.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos pentru a plasa nodul în modul pasiv. În acest mod, nodul va fi înregistrat în organizație și conectat la cloud, dar nu va gestiona niciun trafic.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați jurnalele pentru a verifica dacă nodurile sunt în mod pasiv. Ar trebui să puteți vizualiza mesajul „KMS configurat în mod pasiv” în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După configurare passiveMode în fișierul ISO și salvându-l, puteți crea o altă copie a fișierului ISO fără passiveMode configurare și salvați-l într-o locație sigură. Această copie a fișierului ISO fără passiveMode configurat poate ajuta într-un proces rapid de eșec în timpul recuperării dezastrelor. Consultați Recuperarea dezastrelor utilizând Centrul de date standby pentru procedura detaliată de nereușită.

                                                                                                                                                  Asistență proxy

                                                                                                                                                  Securitatea datelor hibride acceptă inspecții explicite, transparente și proxy-uri neinspectate. Puteți lega aceste proxy-uri de implementarea dvs., astfel încât să puteți securiza și monitoriza traficul de la întreprindere la cloud. Puteți utiliza o interfață de administrare a platformei pe noduri pentru gestionarea certificatelor și pentru a verifica starea generală a conectivității după ce ați configurat proxy-ul pe noduri.

                                                                                                                                                  Nodurile de securitate a datelor hibride acceptă următoarele opțiuni proxy:

                                                                                                                                                  • Fără proxy—Implicit dacă nu utilizați configurația de configurare a nodului HDS Trust Store și proxy pentru a integra un proxy. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Proxy fără inspecție transparent—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Tunelare transparentă sau inspecție proxy—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTP sau HTTPS pe noduri. Cu toate acestea, nodurile au nevoie de un certificat rădăcină, astfel încât să aibă încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).

                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți nodurilor HDS ce server proxy și sistem de autentificare să utilizați. Pentru a configura un proxy explicit, trebuie să introduceți următoarele informații pe fiecare nod:

                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—În funcție de ce acceptă serverul dvs. proxy, alegeți între următoarele protocoale:

                                                                                                                                                      • HTTP—Vizualizează și controlează toate solicitările pe care clientul le trimite.

                                                                                                                                                      • HTTPS—Oferă un canal serverului. Clientul primește și validează certificatul serverului.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai dacă selectați HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                  Exemplu de noduri hibride de securitate a datelor și proxy

                                                                                                                                                  Această diagramă arată o conexiune de exemplu între securitatea datelor hibride, rețea și un proxy. Pentru inspectarea transparentă și opțiunile HTTPS de inspecție explicită a proxy-urilor, trebuie instalat același certificat rădăcină pe proxy și pe nodurile de securitate a datelor hibride.

                                                                                                                                                  Modul de rezoluție DNS extern blocat (configurații proxy explicite)

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. În implementările cu configurații proxy explicite care nu permit rezoluția DNS externă pentru clienții interni, dacă nodul nu poate interoga serverele DNS, acesta intră automat în modul de Rezoluție DNS Externă Blocată. În acest mod, pot continua testele de înregistrare a nodurilor și alte teste de conectivitate proxy.

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  Cerințe privind securitatea datelor hibride

                                                                                                                                                  Cerințe de licență Cisco Webex

                                                                                                                                                  Pentru implementarea securității datelor hibride:

                                                                                                                                                  Cerințe Docker Desktop

                                                                                                                                                  Înainte de a instala nodurile HDS, aveți nevoie de Docker Desktop pentru a rula un program de configurare. Docker și-a actualizat recent modelul de licențiere. Este posibil ca organizația dvs. să necesite un abonament cu plată pentru Docker Desktop. Pentru detalii, consultați postarea de pe blogul Docker, " Docker actualizează și extinde abonamentele noastre la produse ".

                                                                                                                                                  X.509 Cerințe privind certificatul

                                                                                                                                                  Lanțul certificatului trebuie să îndeplinească următoarele cerințe:

                                                                                                                                                  Tabelul 1. Cerințe de certificare X.509 pentru implementarea securității datelor hibride

                                                                                                                                                  Obligatoriu

                                                                                                                                                  Detalii

                                                                                                                                                  • Semnată de o autoritate de certificare de încredere (CA)

                                                                                                                                                  În mod implicit, avem încredere în CA-urile din lista Mozilla (cu excepția WoSign și StartCom) la https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Poartă un nume de domeniu comun (CN) care identifică implementarea securității datelor hibride

                                                                                                                                                  • Nu este un certificat de carte de vizită

                                                                                                                                                  CN-ul nu trebuie să fie accesibil sau o gazdă live. Vă recomandăm să utilizați un nume care reflectă organizația dvs., de exemplu, hds.company.com.

                                                                                                                                                  CN nu trebuie să conțină un * (wildcard).

                                                                                                                                                  CN este utilizat pentru a verifica nodurile de securitate a datelor hibride pentru clienții Aplicației Webex. Toate nodurile de securitate a datelor hibride din clusterul dvs. utilizează același certificat. KMS-ul se identifică utilizând domeniul CN, nu orice domeniu care este definit în câmpurile SAN x.509v3.

                                                                                                                                                  După ce ați înregistrat un nod cu acest certificat, nu acceptăm schimbarea numelui domeniului CN. Alegeți un domeniu care se poate aplica atât implementărilor de încercare, cât și implementărilor de producție.

                                                                                                                                                  • Semnătură non-SHA1

                                                                                                                                                  Software-ul KMS nu acceptă semnăturile SHA1 pentru validarea conexiunilor la KMSs ale altor organizații.

                                                                                                                                                  • Format ca fișier PKCS #12 protejat prin parolă

                                                                                                                                                  • Utilizați numele prietenos al kms-private-key pentru a eticheta certificatul, cheia privată și orice certificate intermediare pentru a încărca.

                                                                                                                                                  Puteți utiliza un convertor, cum ar fi OpenSSL pentru a schimba formatul certificatului.

                                                                                                                                                  Va trebui să introduceți parola atunci când rulați Instrumentul de configurare HDS.

                                                                                                                                                  Software-ul KMS nu impune utilizarea cheii sau restricții extinse de utilizare a cheii. Unele autorități de certificare impun aplicarea unor restricții extinse de utilizare a cheilor pentru fiecare certificat, cum ar fi autentificarea serverului. Este în regulă să utilizați autentificarea serverului sau alte setări.

                                                                                                                                                  Cerințe Gazdă virtuală

                                                                                                                                                  Gazdele virtuale pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. au următoarele cerințe:

                                                                                                                                                  • Cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat

                                                                                                                                                  • VMware ESXi 6.5 (sau mai târziu) instalat și rulează.


                                                                                                                                                     

                                                                                                                                                    Trebuie să faceți upgrade dacă aveți o versiune anterioară a ESXi.

                                                                                                                                                  • Minim 4 vCPU-uri, 8-GB memorie principală, 30-GB spațiu pe hard disk local pe server

                                                                                                                                                  Cerințe server bază de date


                                                                                                                                                   

                                                                                                                                                  Creați o nouă bază de date pentru stocarea cheilor. Nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.

                                                                                                                                                  Există două opțiuni pentru serverul de baze de date. Cerințele pentru fiecare sunt după cum urmează:

                                                                                                                                                  Tabelul 2. Cerințe server bază de date în funcție de tipul de bază de date

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 sau 16, instalat și în funcțiune.

                                                                                                                                                  • Server SQL 2016, 2017 sau 2019 (Enterprise sau Standard) instalat.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 necesită pachetul de servicii 2 și actualizarea cumulativă 2 sau mai târziu.

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Software-ul HDS instalează în prezent următoarele versiuni de drivere pentru comunicarea cu serverul bazei de date:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Șofer JDBC Postgres 42.2.5

                                                                                                                                                  Driver JDBC SQL Server 4.6

                                                                                                                                                  Această versiune a driverului acceptă SQL Server întotdeauna activat (întotdeauna pe instanțe de cluster nereușite și întotdeauna pe grupuri de disponibilitate).

                                                                                                                                                  Cerințe suplimentare pentru autentificarea Windows împotriva Microsoft SQL Server

                                                                                                                                                  Dacă doriți ca nodurile HDS să utilizeze autentificarea Windows pentru a obține acces la baza dvs. de date Keystore pe Microsoft SQL Server, atunci aveți nevoie de următoarea configurație în mediul dvs.:

                                                                                                                                                  • Nodurile HDS, infrastructura Active Directory și serverul MS SQL trebuie sincronizate cu NTP.

                                                                                                                                                  • Contul Windows pe care îl furnizați nodurilor HDS trebuie să aibă acces citit/scris la baza de date.

                                                                                                                                                  • Serverele DNS pe care le furnizați nodurilor HDS trebuie să poată rezolva Centrul dvs. de distribuție a cheilor (KDC).

                                                                                                                                                  • Puteți înregistra instanța bazei de date HDS pe serverul dvs. Microsoft SQL ca nume principal al serviciului (SPN) în directorul dvs. activ. Consultați Înregistrarea unui nume principal de serviciu pentru conexiunile Kerberos.

                                                                                                                                                    Instrumentul de configurare HDS, lansatorul HDS și KMS local trebuie să utilizeze autentificarea Windows pentru a accesa baza de date Keystore. Ei folosesc detaliile din configurația ISO pentru a construi SPN atunci când solicită acces cu autentificarea Kerberos.

                                                                                                                                                  Cerințe de conectivitate externă

                                                                                                                                                  Configurați firewall-ul pentru a permite următoarea conectivitate pentru aplicațiile HDS:

                                                                                                                                                  Aplicație

                                                                                                                                                  Protocol

                                                                                                                                                  Port

                                                                                                                                                  Direcție din aplicație

                                                                                                                                                  Destinație

                                                                                                                                                  Noduri de securitate a datelor hibride

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire și WSS

                                                                                                                                                  • Servere Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • Alte URL-uri care sunt listate pentru securitatea datelor hibride în tabelul URL-uri suplimentare pentru serviciile hibride Webex al cerințelor rețelei pentru serviciile Webex

                                                                                                                                                  Instrument de configurare HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Nodurile de securitate a datelor hibride funcționează cu traducerea accesului la rețea (NAT) sau în spatele unui firewall, atâta timp cât NAT sau firewall permite conexiunile de ieșire necesare la destinațiile de domeniu din tabelul precedent. Pentru conexiunile care intră în nodurile de securitate a datelor hibride, niciun port nu trebuie să fie vizibil de pe internet. În cadrul centrului dvs. de date, clienții au nevoie de acces la nodurile de securitate a datelor hibride din porturile TCP 443 și 22, în scopuri administrative.

                                                                                                                                                  URL-urile gazdelor pentru identitatea comună (CI) sunt specifice regiunii. Acestea sunt gazdele actuale CI:

                                                                                                                                                  Regiune

                                                                                                                                                  URL-uri comune ale gazdei pentru identitate

                                                                                                                                                  Țările din America

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Uniunea Europeană

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Cerințe server proxy

                                                                                                                                                  • Sprijinim oficial următoarele soluții proxy care se pot integra cu nodurile dvs. de securitate a datelor hibride.

                                                                                                                                                  • Acceptăm următoarele combinații de tip autentificare pentru proxy-uri explicite:

                                                                                                                                                    • Nicio autentificare cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare de bază cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare Digest numai cu HTTPS

                                                                                                                                                  • Pentru un proxy de inspecție transparent sau un proxy explicit HTTPS, trebuie să aveți o copie a certificatului rădăcină al proxy-ului. Instrucțiunile de implementare din acest ghid vă spun cum să încărcați copia în magazinele de încredere ale nodurilor de securitate a datelor hibride.

                                                                                                                                                  • Rețeaua care găzduiește nodurile HDS trebuie să fie configurată pentru a forța traficul TCP de ieșire în portul 443 să se deplaseze prin proxy.

                                                                                                                                                  • Proxy-urile care inspectează traficul web pot interfera cu conexiunile socket-urilor web. Dacă apare această problemă, ocolirea (nu inspectarea) traficului la wbx2.com și ciscospark.com va rezolva problema.

                                                                                                                                                  Completați cerințele preliminare pentru securitatea datelor hibride

                                                                                                                                                  Utilizați această listă de verificare pentru a vă asigura că sunteți gata să instalați și să configurați clusterul de securitate a datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Asigurați-vă că organizația dvs. Webex este activată pentru pachetul Pro pentru Cisco Webex Control Hub și obțineți acreditările unui cont cu drepturi depline de administrator al organizației. Contactați-vă partenerul Cisco sau managerul de cont pentru ajutor în acest proces.

                                                                                                                                                  2

                                                                                                                                                  Alegeți un nume de domeniu pentru implementarea HDS (de exemplu, hds.company.com) și să obțină un lanț de certificate care conține un certificat X.509, cheie privată și orice certificate intermediare. Lanțul certificatului trebuie să îndeplinească cerințele din Cerințele de certificare X.509.

                                                                                                                                                  3

                                                                                                                                                  Pregătiți gazdele virtuale identice pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. Aveți nevoie de cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat, care îndeplinesc cerințele din Cerințele Gazdei Virtuale.

                                                                                                                                                  4

                                                                                                                                                  Pregătiți serverul bazei de date care va acționa ca un magazin de date cheie pentru cluster, în conformitate cu cerințele serverului bazei de date. Serverul bazei de date trebuie să fie plasat în centrul de date securizat cu gazdele virtuale.

                                                                                                                                                  1. Creați o bază de date pentru stocarea tastelor. (Trebuie să creați această bază de date—nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.)

                                                                                                                                                  2. Colectați detaliile pe care nodurile le vor utiliza pentru a comunica cu serverul bazei de date:

                                                                                                                                                    • numele gazdei sau adresa IP (gazda) și portul

                                                                                                                                                    • numele bazei de date (dbname) pentru stocarea cheilor

                                                                                                                                                    • numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură

                                                                                                                                                  5

                                                                                                                                                  Pentru recuperarea rapidă a dezastrelor, configurați un mediu de rezervă într-un alt centru de date. Mediul de rezervă reflectă mediul de producție al VMs și un server de baze de date de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs.

                                                                                                                                                  6

                                                                                                                                                  Configurați o gazdă syslog pentru a colecta jurnale de la nodurile din cluster. Aduna adresa de rețea și portul syslog (implicit este UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creați o politică de rezervă securizată pentru nodurile de securitate a datelor hibride, serverul bazei de date și gazda syslog. Cel puțin, pentru a preveni pierderea de date nerecuperabile, trebuie să salvați baza de date și fișierul ISO de configurare generat pentru nodurile de securitate a datelor hibride.


                                                                                                                                                   

                                                                                                                                                  Deoarece nodurile de securitate a datelor hibride stochează cheile utilizate în criptarea și decriptarea conținutului, nemenținerea unei implementări operaționale va duce la PIERDEREA NERECUPERABILĂ a conținutului respectiv.

                                                                                                                                                  Clienții Aplicației Webex își ascund cheile, astfel încât este posibil ca o întrerupere să nu fie vizibilă imediat, dar va deveni evidentă în timp. În timp ce ieșirile temporare sunt imposibil de prevenit, acestea sunt recuperabile. Cu toate acestea, pierderea completă (fără backup-uri disponibile) a bazei de date sau a fișierului ISO de configurare va duce la date client nerecuperabile. Operatorii nodurilor de securitate a datelor hibride se așteaptă să mențină backup-uri frecvente ale bazei de date și ale fișierului ISO de configurare și să fie pregătiți să reconstruiască centrul de date de securitate a datelor hibride în cazul în care apare un eșec catastrofal.

                                                                                                                                                  8

                                                                                                                                                  Asigurați-vă că configurația firewall-ului dvs. permite conectivitatea pentru nodurile dvs. de securitate a datelor hibride, astfel cum sunt prezentate în cerințele de conectivitate externă.

                                                                                                                                                  9

                                                                                                                                                  Instalați Docker ( https://www.docker.com) pe orice mașină locală care rulează un sistem de operare acceptat (Microsoft Windows 10 Professional sau Enterprise pe 64 de biți sau Mac OSX Yosemite 10.10.3 sau mai sus) cu un browser web care îl poate accesa la http://127.0.0.1:8080.

                                                                                                                                                  Utilizați instanța Docker pentru a descărca și rula Instrumentul de configurare HDS, care construiește informațiile de configurare locale pentru toate nodurile de securitate a datelor hibride. Este posibil ca organizația dvs. să aibă nevoie de o licență Docker Desktop. Consultați Cerințele Docker Desktop pentru mai multe informații.

                                                                                                                                                  Pentru a instala și rula Instrumentul de configurare HDS, utilajul local trebuie să aibă conectivitatea descrisă în Cerințele de conectivitate externă.

                                                                                                                                                  10

                                                                                                                                                  Dacă integrați un proxy cu securitatea datelor hibride, asigurați-vă că îndeplinește Cerințele serverului proxy.

                                                                                                                                                  11

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, creați un grup în Active Directory numit HdsTrialGroup, și adăugați utilizatori pilot. Grupul de încercare poate avea până la 250 de utilizatori. Fișierul HdsTrialGroup obiectul trebuie să fie sincronizat în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru a sincroniza un obiect de grup, selectați-l în Directory Connector Configurare > Meniu Selecție obiect. (Pentru instrucțiuni detaliate, consultați Ghidul de implementare pentru Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Atunci când selectați utilizatori pilot, rețineți că, dacă decideți să dezactivați definitiv implementarea securității datelor hibride, toți utilizatorii pierd accesul la conținut în spațiile create de utilizatorii pilot. Pierderea devine evidentă imediat ce aplicațiile utilizatorilor își reîmprospătează copiile cache ale conținutului.

                                                                                                                                                  Configurarea unui cluster de securitate a datelor hibride

                                                                                                                                                  Flux sarcină de implementare a securității datelor hibride

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  1

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  Descărcați fișierul OVA la utilajul local pentru utilizare ulterioară.

                                                                                                                                                  2

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Utilizați instrumentul de configurare HDS pentru a crea un fișier de configurare ISO pentru nodurile de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Creați o mașină virtuală din fișierul OVA și efectuați configurația inițială, cum ar fi setările de rețea.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  4

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Conectați-vă la consola VM și setați acreditările de conectare. Configurați setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  5

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Configurați VM din fișierul de configurare ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită configurare proxy, specificați tipul de proxy pe care îl veți utiliza pentru nod și adăugați certificatul proxy la magazinul de încredere, dacă este necesar.

                                                                                                                                                  7

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Înregistrați VM cu cloudul Cisco Webex ca nod de securitate a datelor hibrid.

                                                                                                                                                  8

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Finalizați configurarea clusterului.

                                                                                                                                                  9

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)

                                                                                                                                                  Până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  În această sarcină, descărcați un fișier OVA pe mașina dvs. (nu pe serverele pe care le-ați configurat ca noduri de securitate a datelor hibride). Utilizați acest fișier mai târziu în procesul de instalare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi faceți clic pe Servicii.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride, apoi faceți clic pe Configurare.

                                                                                                                                                  Dacă cardul este dezactivat sau nu îl vedeți, contactați echipa de cont sau organizația parteneră. Dați-le numărul contului dvs. și solicitați să activați organizația dvs. pentru securitatea datelor hibride. Pentru a găsi numărul contului, faceți clic pe dispozitivul din dreapta sus, lângă numele organizației dvs.


                                                                                                                                                   

                                                                                                                                                  De asemenea, puteți descărca OVA în orice moment din secțiunea Ajutor de pe pagina Setări . Pe cardul de securitate a datelor hibride, faceți clic pe Editare setări pentru a deschide pagina. Atunci, faceți clic pe Descărcați software-ul de securitate a datelor hibride în secțiunea Ajutor .


                                                                                                                                                   

                                                                                                                                                  Versiunile mai vechi ale pachetului software (OVA) nu vor fi compatibile cu cele mai recente upgrade-uri de securitate a datelor hibride. Acest lucru poate duce la probleme în timp ce actualizarea aplicației. Asigurați-vă că descărcați cea mai recentă versiune a fișierului OVA.

                                                                                                                                                  3

                                                                                                                                                  Selectați Nu pentru a indica faptul că nu ați configurat încă nodul, apoi faceți clic pe Înainte.

                                                                                                                                                  Fișierul OVA începe automat să se descarce. Salvați fișierul într-o locație de pe utilajul dvs.
                                                                                                                                                  4

                                                                                                                                                  Opțional, faceți clic pe Deschidere Ghid de implementare pentru a verifica dacă există o versiune ulterioară a acestui ghid disponibil.

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Procesul de configurare a securității datelor hibride creează un fișier ISO. Apoi utilizați ISO pentru a configura gazda dvs. de securitate a datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în pasul 5. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Fișierul de configurare ISO pe care îl generați conține cheia principală care criptează baza de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de cea mai recentă copie a acestui fișier oricând efectuați modificări de configurare, cum ar fi acestea:

                                                                                                                                                    • Informații bază de date

                                                                                                                                                    • Actualizări certificat

                                                                                                                                                    • Modificări ale politicii de autorizare

                                                                                                                                                  • Dacă intenționați să criptați conexiunile la baza de date, configurați implementarea PostgreSQL sau SQL Server pentru TLS.

                                                                                                                                                  1

                                                                                                                                                  În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2

                                                                                                                                                  Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  La solicitarea parolei, introduceți acest hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  • În mediile obișnuite fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile FedRAMP fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  Utilizați un browser web pentru a merge la gazda locală, http://127.0.0.1:8080, și introduceți numele de utilizator al administratorului clientului pentru Control Hub la prompt.

                                                                                                                                                  Instrumentul utilizează această primă intrare a numelui de utilizator pentru a seta mediul adecvat pentru acel cont. Instrumentul afișează apoi apelul standard de conectare.

                                                                                                                                                  7

                                                                                                                                                  Când vi se solicită, introduceți acreditările de conectare ale administratorului clientului Control Hub, apoi faceți clic pe Conectare pentru a permite accesul la serviciile necesare pentru securitatea datelor hibride.

                                                                                                                                                  8

                                                                                                                                                  Pe pagina de prezentare generală a instrumentului de configurare, faceți clic pe Get Started.

                                                                                                                                                  9

                                                                                                                                                  Pe pagina ISO Import aveți aceste opțiuni:

                                                                                                                                                  • Nu—Dacă creați primul nod HDS, nu aveți un fișier ISO pentru încărcare.
                                                                                                                                                  • Da—Dacă ați creat deja noduri HDS, apoi selectați fișierul ISO în navigare și încărcați-l.
                                                                                                                                                  10

                                                                                                                                                  Verificați dacă certificatul dvs. X.509 îndeplinește cerințele din Cerințele de certificare X.509.

                                                                                                                                                  • Dacă nu ați mai încărcat un certificat înainte, încărcați certificatul X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. este OK, faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. a expirat sau doriți să îl înlocuiți, selectați Nu pentru Continuare utilizând lanțul certificatului HDS și cheia privată din ISO anterior?. Încărcați un nou certificat X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  11

                                                                                                                                                  Introduceți adresa bazei de date și contul HDS pentru a accesa baza de date cu tastatură:

                                                                                                                                                  1. Selectați tipul bazei de date (PostgreSQL sau Microsoft SQL Server).

                                                                                                                                                    Dacă alegeți Microsoft SQL Server, primiți un câmp tip autentificare.

                                                                                                                                                  2. (Numai serverul Microsoft SQL) Selectați tipul dvs. de autentificare:

                                                                                                                                                    • Autentificare de bază: Aveți nevoie de un nume de cont SQL Server local în câmpul Nume de utilizator .

                                                                                                                                                    • Autentificare Windows: Aveți nevoie de un cont Windows în format username@DOMAIN în câmpul Nume utilizator .

                                                                                                                                                  3. Introduceți adresa serverului bazei de date în formular <hostname>:<port> sau <IP-address>:<port>.

                                                                                                                                                    Exemplu:
                                                                                                                                                    dbhost.example.org:1433 sau 198.51.100.17:1433

                                                                                                                                                    Puteți utiliza o adresă IP pentru autentificarea de bază, dacă nodurile nu pot utiliza DNS pentru a rezolva numele gazdei.

                                                                                                                                                    Dacă utilizați autentificarea Windows, trebuie să introduceți un nume de domeniu complet calificat în format dbhost.example.org:1433

                                                                                                                                                  4. Introduceți numele bazei de date.

                                                                                                                                                  5. Introduceți numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură.

                                                                                                                                                  12

                                                                                                                                                  Selectați un mod de conectare la baza de date TLS:

                                                                                                                                                  Mod

                                                                                                                                                  Descriere

                                                                                                                                                  Prefer TLS (opțiune prestabilită)

                                                                                                                                                  Nodurile HDS nu necesită TLS pentru a se conecta la server bază de date de date . Dacă activați TLS pe serverul bazei de date, nodurile încearcă o conexiune criptată.

                                                                                                                                                  Solicită TLS

                                                                                                                                                  Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului


                                                                                                                                                   

                                                                                                                                                  Acest mod nu se aplică bazelor de date SQL Server.

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului și numele gazdei

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  • Nodurile verifică, de asemenea, dacă numele gazdei din certificatul de server corespunde numelui gazdei din câmpul Gazdă bază de date și port . Numele trebuie să corespundă exact, sau nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Când încărcați certificatul rădăcină (dacă este necesar) și faceți clic pe Continuare, instrumentul de configurare HDS testează conexiunea TLS la serverul bazei de date. Instrumentul verifică, de asemenea, semnatarul certificatului și numele gazdei, dacă este cazul. Dacă un test eșuează, instrumentul afișează un mesaj de eroare care descrie problema. Puteți alege să ignorați eroarea și să continuați configurarea. (Din cauza diferențelor de conectivitate, nodurile HDS ar putea fi capabile să stabilească conexiunea TLS, chiar dacă utilajul Instrumentului de configurare HDS nu o poate testa cu succes.)

                                                                                                                                                  13

                                                                                                                                                  Pe pagina Jurnale de sistem, configurați serverul Syslogd:

                                                                                                                                                  1. Introduceți URL-ul serverului syslog.

                                                                                                                                                    Dacă serverul nu poate fi rezolvat prin DNS din nodurile clusterului dvs. HDS, utilizați o adresă IP în URL.

                                                                                                                                                    Exemplu:
                                                                                                                                                    udp://10.92.43.23:514 indică conectarea la gazda Syslogd 10.92.43.23 pe portul UDP 514.
                                                                                                                                                  2. Dacă configurați serverul pentru a utiliza criptarea TLS, verificați dacă este configurat serverul syslog pentru criptarea SSL?.

                                                                                                                                                    Dacă bifați această casetă de selectare, asigurați-vă că introduceți un URL TCP, cum ar fi tcp://10.92.43.23:514.

                                                                                                                                                  3. Din lista derulantă Choose syslog record termination , alegeți setarea potrivită pentru fișierul dvs. ISO: Alegerea sau linia nouă este utilizată pentru Graylog și Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Newline -- \n—Selectați această opțiune pentru Graylog și Rsyslog TCP.

                                                                                                                                                  4. Faceți clic pe Continuați.

                                                                                                                                                  14

                                                                                                                                                  (Opțional) Puteți modifica valoarea implicită a unor parametri de conexiune la baza de date în Setări avansate. În general, acest parametru este singurul pe care s-ar putea dori să-l modificați:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Faceți clic pe Continuare pe ecranul Resetare Conturi serviciu Parolă .

                                                                                                                                                  Parolele contului de serviciu au o durată de viață de nouă luni. Utilizați acest ecran atunci când parolele dvs. se apropie de expirare sau doriți să le resetați pentru a dezactiva fișierele ISO anterioare.

                                                                                                                                                  16

                                                                                                                                                  Faceți clic pe Descărcați fișierul ISO. Salvați fișierul într-o locație ușor de găsit.

                                                                                                                                                  17

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local.

                                                                                                                                                  Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  18

                                                                                                                                                  Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Backup fișierul ISO de configurare. Aveți nevoie de ea pentru a crea mai multe noduri pentru recuperare, sau pentru a face modificări de configurare. Dacă pierdeți toate copiile fișierului ISO, ați pierdut, de asemenea, cheia principală. Recuperarea tastelor din baza de date PostgreSQL sau Microsoft SQL Server nu este posibilă.


                                                                                                                                                   

                                                                                                                                                  Nu avem niciodată o copie a acestei chei și nu poate ajuta dacă îl pierzi.

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Utilizați această procedură pentru a crea o mașină virtuală din fișierul OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selectați Fișier > Implementați șablonul OVF.

                                                                                                                                                  3

                                                                                                                                                  În expert, specificați locația fișierului OVA pe care l-ați descărcat mai devreme, apoi faceți clic pe În continuare.

                                                                                                                                                  4

                                                                                                                                                  Pe Selectați un nume și un folder pagină , introduceți o Nume mașină virtuală pentru nod (de exemplu, „HDS_Node_1”), alegeți o locație în care se poate afla implementarea nodului mașinii virtuale, apoi faceți clic pe În continuare.

                                                                                                                                                  5

                                                                                                                                                  Pe Selectați o resursă de calcul pagină , alegeți resursa de calcul destinație, apoi faceți clic pe În continuare.

                                                                                                                                                  O verificare de validare se execută. După ce se termină, apar detaliile șablonului.

                                                                                                                                                  6

                                                                                                                                                  Verificați detaliile șablonului și apoi faceți clic pe Înainte.

                                                                                                                                                  7

                                                                                                                                                  Dacă vi se solicită să alegeți configurația de resurse de pe Configurare pagină , faceți clic pe 4 CPU apoi faceți clic pe În continuare.

                                                                                                                                                  8

                                                                                                                                                  Pe Selectați spațiul de stocare pagină , faceți clic pe În continuare pentru a accepta formatul implicit al discului și politica de stocare VM.

                                                                                                                                                  9

                                                                                                                                                  Pe Selectați rețelele pagină, alege opțiunea de rețea din lista de intrări pentru a oferi conexiunea dorită la VM.

                                                                                                                                                  10

                                                                                                                                                  Pe pagina Personalizați șablonul , configurați următoarele setări ale rețelei:

                                                                                                                                                  • Nume gazdă—Introduceți FQDN (nume de gazdă și domeniu) sau un singur cuvânt nume de gazdă pentru nod.

                                                                                                                                                     
                                                                                                                                                    • Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                    • Pentru a vă asigura că vă înregistrați cu succes în cloud, utilizați numai caractere din FQDN sau numele gazdei pe care le-ați setat pentru nod. Capitalizarea nu este acceptată în acest moment.

                                                                                                                                                    • Lungimea totală a FQDN nu trebuie să depășească 64 de caractere.

                                                                                                                                                  • Adresă IP— Introduceți adresa IP pentru interfața internă a nodului.

                                                                                                                                                     

                                                                                                                                                    Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  • Mască—Introduceți adresa măștii subnet în notația punct-zecimală. De exemplu, 255.255.255.0.
                                                                                                                                                  • Gateway—Introduceți adresa IP a gateway-ului. Un gateway este un nod de rețea care servește ca punct de acces la o altă rețea.
                                                                                                                                                  • Servere DNS—Introduceți o listă de servere DNS separate prin virgulă, care se ocupă cu traducerea numelor de domenii către adrese IP numerice. (Sunt permise până la 4 intrări DNS.)
                                                                                                                                                  • Servere NTP—Introduceți serverul NTP al organizației dvs. sau un alt server NTP extern care poate fi utilizat în organizația dvs. Serverele NTP implicite nu pot funcționa pentru toate întreprinderile. De asemenea, puteți utiliza o listă separată prin virgulă pentru a introduce mai multe servere NTP.
                                                                                                                                                  • Implementați toate nodurile din aceeași subrețea sau VLAN, astfel încât toate nodurile dintr-un cluster să poată fi accesate de clienții din rețeaua dvs. în scopuri administrative.

                                                                                                                                                  Dacă preferați, puteți sări peste configurația de setare a rețelei și puteți urma pașii din Configurați VM-ul de securitate a datelor hibride pentru a configura setările din consola nodului.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  11

                                                                                                                                                  Faceți clic dreapta pe nodul VM, apoi alegeți Alimentare > Pornire.

                                                                                                                                                  Software-ul de securitate a datelor hibride este instalat ca invitat pe Gazda VM. Acum sunteți gata să vă conectați la consolă și să configurați nodul.

                                                                                                                                                  Sfaturi pentru depanare

                                                                                                                                                  Este posibil să aveți o întârziere de câteva minute înainte de apariția containerelor de nod. Un mesaj de firewall de legătură apare pe consolă în timpul primei boot-ări, în timpul căreia nu vă puteți conecta.

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a vă conecta pentru prima dată la consola VM a nodului de securitate a datelor hibride și pentru a seta acreditările de conectare. De asemenea, puteți utiliza consola pentru a configura setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  1

                                                                                                                                                  În clientul VMware vSphere, selectați nodul de securitate a datelor hibride VM și selectați fila Console .

                                                                                                                                                  VM pornește în sus și apare un prompt de conectare. Dacă mesajul de conectare nu se afișează, apăsați Enter.
                                                                                                                                                  2

                                                                                                                                                  Utilizați următoarea conectare implicită și parola pentru a vă conecta și a modifica datele de autentificare:

                                                                                                                                                  1. Conectare: admin

                                                                                                                                                  2. Parolă: cisco

                                                                                                                                                  Deoarece vă conectați pentru prima dată la VM, trebuie să schimbați parola de administrator.

                                                                                                                                                  3

                                                                                                                                                  Dacă ați configurat deja setările de rețea în Instalați gazda HDS OVA, omiteți restul acestei proceduri. În caz contrar, în meniul principal, selectați opțiunea Editare configurație .

                                                                                                                                                  4

                                                                                                                                                  Configurați o configurație statică cu adresă IP, Mască, Gateway și informații DNS. Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  5

                                                                                                                                                  (Opțional) Modificați numele gazdei, domeniul sau serverul (serverele) NTP, dacă este necesar pentru a se potrivi cu politica de rețea.

                                                                                                                                                  Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvați configurația de rețea și reporniți VM, astfel încât modificările să aibă efect.

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Utilizați această procedură pentru a configura mașina virtuală din fișierul ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Deoarece fișierul ISO deține cheia principală, acesta ar trebui să fie expus numai pe o bază „trebuie să știe”, pentru a fi accesat de către VM-urile de securitate a datelor hibride și de orice administratori care ar putea avea nevoie să facă modificări. Asigurați-vă că numai acei administratori pot accesa stația de date.

                                                                                                                                                  1

                                                                                                                                                  Încărcați fișierul ISO de pe computer:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, faceţi clic pe serverul ESXi.

                                                                                                                                                  2. În lista Hardware a filei de configurare, faceți clic pe Storage (Depozitare).

                                                                                                                                                  3. În lista Datastores, faceți clic dreapta pe bara de date pentru VMs și faceți clic pe Browse Datastore.

                                                                                                                                                  4. Faceți clic pe pictograma Încărcare fișiere, apoi faceți clic pe Încărcare fișier.

                                                                                                                                                  5. Navigați la locația în care ați descărcat fișierul ISO pe computer și faceți clic pe Deschidere.

                                                                                                                                                  6. Faceți clic pe Da pentru a accepta avertismentul operațiunii de încărcare/descărcare și închideți dialogul cu stația de date.

                                                                                                                                                  2

                                                                                                                                                  Montați fișierul ISO:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  2. Faceți clic pe OK pentru a accepta avertismentul privind opțiunile de editare restricționate.

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO datastore și navigați la locația în care ați încărcat fișierul ISO de configurare.

                                                                                                                                                  4. Verificați Conectat și Conectat la putere.

                                                                                                                                                  5. Salvați modificările și reporniți mașina virtuală.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Dacă politica dvs. IT necesită, puteți dezinstala opțional fișierul ISO după ce toate nodurile dvs. preiau modificările de configurare. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită un proxy, utilizați această procedură pentru a specifica tipul de proxy pe care doriți să îl integrați cu securitatea datelor hibride. Dacă alegeți un proxy de inspecție transparent sau un proxy explicit HTTPS, puteți utiliza interfața nodului pentru a încărca și instala certificatul rădăcină. De asemenea, puteți verifica conexiunea proxy din interfață și puteți rezolva orice probleme potențiale.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  1

                                                                                                                                                  Introduceți URL-ul de configurare a nodului HDS https://[HDS Node IP or FQDN]/setup într-un browser web, introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Trust Store & Proxy, apoi alegeți o opțiune:

                                                                                                                                                  • Nu există proxy—Opțiunea implicită înainte de a integra un proxy. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Proxy transparent fără inspecție- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Inspecție transparentă proxy- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTPS la implementarea securității datelor hibride, cu toate acestea, nodurile HDS au nevoie de un certificat rădăcină pentru a avea încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).
                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți clientului (noduri HDS) ce server proxy să utilizeze, iar această opțiune acceptă mai multe tipuri de autentificare. După ce alegeți această opțiune, trebuie să introduceți următoarele informații:
                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—Alegeți http (vizualizează și controlează toate solicitările primite de la client) sau https (oferă un canal serverului, iar clientul primește și validează certificatul serverului). Alegeți o opțiune pe baza a ceea ce acceptă serverul proxy.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai pentru proxy-uri HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                  Urmați pașii următori pentru un proxy de inspecție transparent, un proxy explicit HTTP cu autentificare de bază sau un proxy explicit HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Faceți clic pe Încărcați un certificat rădăcină sau un certificat de entitate finalizată, apoi navigați la o alegere a certificatului rădăcină pentru proxy.

                                                                                                                                                  Certificatul este încărcat, dar nu este încă instalat, deoarece trebuie să reporniți nodul pentru a instala certificatul. Faceți clic pe săgeata chevron după numele emitentului certificatului pentru a obține mai multe detalii sau faceți clic pe Ștergere dacă ați făcut o greșeală și doriți să reîncărcați fișierul.

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy pentru a testa conectivitatea la rețea între nod și proxy.

                                                                                                                                                  Dacă testul conexiunii eșuează, veți vedea un mesaj de eroare care arată motivul și modul în care puteți corecta problema.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a reușit, nodul nu a putut ajunge la serverul DNS. Această condiție este de așteptat în multe configurații proxy explicite. Puteți continua cu configurarea, iar nodul va funcționa în modul de Rezoluție DNS Externă Blocată. Dacă credeți că aceasta este o eroare, completați acești pași și apoi consultați Dezactivarea modului de rezoluție DNS extern blocat.

                                                                                                                                                  5

                                                                                                                                                  După ce testul conexiunii trece, pentru proxy explicit setat numai la https, activați comutatorul pentru a Ruta toate solicitările de port 443/444 https din acest nod prin proxy explicit. Această setare necesită 15 secunde pentru a intra în vigoare.

                                                                                                                                                  6

                                                                                                                                                  Faceți clic pe Instalare toate certificatele în magazinul de încredere (apare pentru un proxy explicit HTTPS sau un proxy de inspecție transparent) sau Reporniți (apare pentru un proxy explicit HTTP), citiți mesajul și apoi faceți clic pe Instalare dacă sunteți pregătit.

                                                                                                                                                  Nodul repornește în câteva minute.

                                                                                                                                                  7

                                                                                                                                                  După repornirea nodului, conectați-vă din nou dacă este necesar, apoi deschideți pagina Prezentare generală pentru a verifica verificările de conectivitate pentru a vă asigura că toate sunt în stare verde.

                                                                                                                                                  Verificarea conexiunii proxy testează numai un subdomeniu al webex.com. Dacă există probleme de conectivitate, o problemă comună este că unele dintre domeniile cloud enumerate în instrucțiunile de instalare sunt blocate la proxy.

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Această sarcină preia nodul generic pe care l-ați creat în Configurarea VM-ului de securitate a datelor hibride, înregistrează nodul cu cloudul Webex și îl transformă într-un nod de securitate a datelor hibride.

                                                                                                                                                  Când vă înregistrați primul nod, creați un cluster căruia i se atribuie nodul. Un cluster conține unul sau mai multe noduri implementate pentru a oferi redundanță.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Din meniul din partea stângă a ecranului, selectați Servicii.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Configurare.

                                                                                                                                                  Apare pagina Nod de securitate a datelor hibride de înregistrare.
                                                                                                                                                  4

                                                                                                                                                  Selectați Da pentru a indica faptul că ați configurat nodul și sunteți gata să îl înregistrați, apoi faceți clic pe Înainte.

                                                                                                                                                  5

                                                                                                                                                  În primul câmp, introduceți un nume pentru clusterul la care doriți să alocați nodul dvs. de securitate a datelor hibride.

                                                                                                                                                  Vă recomandăm să denumiți un cluster bazat pe locul în care nodurile clusterului sunt localizate geografic. Exemple: "San Francisco" sau "New York" sau "Dallas"

                                                                                                                                                  6

                                                                                                                                                  În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                  Această adresă IP sau FQDN trebuie să corespundă adresei IP sau numelui gazdei și domeniului pe care l-ați utilizat în Configurarea VM-ului de securitate a datelor hibride.

                                                                                                                                                  Apare un mesaj care indică faptul că vă puteți înregistra nodul la Webex.
                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Du-te la Nod.

                                                                                                                                                  8

                                                                                                                                                  Faceți clic pe Continuare în mesajul de avertizare.

                                                                                                                                                  După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. Webex pentru a accesa nodul dvs.
                                                                                                                                                  9

                                                                                                                                                  Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                  Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  10

                                                                                                                                                  Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Pe pagina Securitate datelor hibride, este afișat noul cluster care conține nodul pe care l-ați înregistrat. Nodul va descărca automat cel mai recent software din cloud.

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Pentru a adăuga noduri suplimentare în cluster, creați pur și simplu VMs suplimentare și montați același fișier ISO de configurare, apoi înregistrați nodul. Vă recomandăm să aveți cel puțin 3 noduri.

                                                                                                                                                   

                                                                                                                                                  În acest moment, VMs de rezervă pe care le-ați creat în Completați Condițiile prealabile pentru securitatea datelor hibride sunt gazde standby care sunt utilizate numai în caz de recuperare a dezastrelor; acestea nu sunt înregistrate la sistem până atunci. Pentru detalii, consultați Recuperarea dezastrelor utilizând Centrul de date standby.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creați o nouă mașină virtuală din OVA, repetând pașii din Instalați gazda HDS OVA.

                                                                                                                                                  2

                                                                                                                                                  Configurați configurația inițială pe noul VM, repetând pașii din Configurați VM-ul de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe noul VM, repetați pașii din Încărcați și montați ISO de configurare HDS.

                                                                                                                                                  4

                                                                                                                                                  Dacă configurați un proxy pentru implementarea dvs., repetați pașii din Configurați nodul HDS pentru Integrare proxy după cum este necesar pentru noul nod.

                                                                                                                                                  5

                                                                                                                                                  Înregistrați nodul.

                                                                                                                                                  1. În https://admin.webex.com, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2. În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride și faceți clic pe Resurse.

                                                                                                                                                    Apare pagina Resurse de securitate a datelor hibride.
                                                                                                                                                  3. Faceți clic pe Adăugare resursă.

                                                                                                                                                  4. În primul câmp, selectați numele clusterului existent.

                                                                                                                                                  5. În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                    Apare un mesaj care indică faptul că vă puteți înregistra nodul în cloudul Webex.
                                                                                                                                                  6. Faceți clic pe Du-te la Nod.

                                                                                                                                                    După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. pentru a accesa nodul dvs.
                                                                                                                                                  7. Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                    Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  8. Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Nodul dvs. este înregistrat. Rețineți că până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)
                                                                                                                                                  Efectuați un proces și mutați-vă la producție

                                                                                                                                                  Încercare la fluxul sarcinilor de producție

                                                                                                                                                  După ce ați configurat un cluster de securitate a datelor hibride, puteți iniția un pilot, puteți adăuga utilizatori la acesta și puteți începe să îl utilizați pentru testarea și verificarea implementării dvs. în vederea trecerii la producție.

                                                                                                                                                  1

                                                                                                                                                  Dacă este cazul, sincronizați HdsTrialGroup obiect de grup.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea începe o încercare. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Activați procesul

                                                                                                                                                  Începeți o încercare. Până când nu efectuați această sarcină, nodurile dvs. generează o alarmă care indică faptul că serviciul nu este încă activat.

                                                                                                                                                  3

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Verificați dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  4

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Verificați starea și configurați notificările prin e-mail pentru alarme.

                                                                                                                                                  5

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  6

                                                                                                                                                  Finalizați faza de probă cu una dintre următoarele acțiuni:

                                                                                                                                                  Activați procesul

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Inițiere încercare.

                                                                                                                                                  Starea serviciului se modifică în modul de încercare.
                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Adăugare utilizatori și introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a pilot utilizând nodurile dvs. de securitate a datelor hibride pentru serviciile de criptare și indexare.

                                                                                                                                                  (Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory pentru a gestiona grupul de încercare, HdsTrialGroup.)

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a testa scenariile de criptare a securității datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Configurați implementarea securității datelor hibride.

                                                                                                                                                  • Activați procesul și adăugați mai mulți utilizatori de proces.

                                                                                                                                                  • Asigurați-vă că aveți acces la syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Conectați-vă la Aplicația Webex ca unul dintre utilizatorii pilot, apoi creați un spațiu și invitați cel puțin un utilizator pilot și un utilizator non-pilot.


                                                                                                                                                   

                                                                                                                                                  Dacă dezactivați implementarea securității datelor hibride, conținutul din spațiile pe care utilizatorii pilot le creează nu mai este accesibil după ce copiile în cache ale cheilor de criptare sunt înlocuite.

                                                                                                                                                  2

                                                                                                                                                  Trimiteți mesaje către noul spațiu.

                                                                                                                                                  3

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  1. Pentru a verifica dacă un utilizator stabilește mai întâi un canal securizat la KMS, filtrați pe kms.data.method=create și kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Ar trebui să găsiți o intrare, cum ar fi următoarele (identificatori scurtați pentru lizibilitate):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Pentru a verifica dacă un utilizator solicită o cheie existentă din KMS, filtrați pe kms.data.method=retrieve și kms.data.type=KEY:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Pentru a verifica dacă un utilizator solicită crearea unei noi chei KMS, filtrați pe kms.data.method=create și kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Pentru a verifica dacă un utilizator solicită crearea unui nou obiect de resurse KMS (KRO) atunci când este creat un spațiu sau o altă resursă protejată, filtrați pe kms.data.method=create și kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Trebuie să găsiți o intrare, cum ar fi:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Un indicator de stare din Control Hub vă arată dacă totul este bine cu implementarea securității datelor hibride. Pentru o alertare mai proactivă, înscrieți-vă pentru notificări prin e-mail. Veți fi notificat atunci când există alarme sau upgrade-uri de software care afectează serviciul.
                                                                                                                                                  1

                                                                                                                                                  În Control Hub, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Setări.

                                                                                                                                                  Apare pagina Setări securitate date hibride.
                                                                                                                                                  3

                                                                                                                                                  În secțiunea Notificări prin e-mail, tastați una sau mai multe adrese de e-mail separate prin virgule și apăsați Enter.

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  După ce ați activat un trial și ați adăugat setul inițial de utilizatori de trial, puteți adăuga sau elimina membri de trial în orice moment în timp ce procesul este activ.

                                                                                                                                                  Dacă eliminați un utilizator din trial, clientul utilizatorului va solicita chei și crearea de taste din KMS cloud în loc de KMS dvs. Dacă clientul are nevoie de o cheie stocată pe KMS-ul dvs., KMS-ul cloud o va prelua în numele utilizatorului.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, utilizați Active Directory (în loc de această procedură) pentru a gestiona grupul de încercare, HdsTrialGroup; puteți vizualiza membrii grupului din Control Hub, dar nu îi puteți adăuga sau elimina.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Modul de încercare din zona de stare a serviciului, faceți clic pe Adăugare utilizatori sau faceți clic pe vizualizare și editare pentru a elimina utilizatorii din trial.

                                                                                                                                                  4

                                                                                                                                                  Introduceți adresa de e-mail a unuia sau mai multor utilizatori pentru a adăuga sau faceți clic pe X de către un ID de utilizator pentru a elimina utilizatorul din încercare. Apoi faceți clic Salvați .

                                                                                                                                                  Mutați de la încercare la producție

                                                                                                                                                  Când sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare, puteți trece la producție. Când treceți la producție, toți utilizatorii din organizație vor utiliza domeniul dvs. local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Nu puteți reveni la modul de încercare din producție decât dacă dezactivați serviciul ca parte a recuperării dezastrelor. Reactivarea serviciului vă cere să configurați o nouă încercare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Stare serviciu, faceți clic pe Mutare în producție.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să mutați toți utilizatorii la producție.

                                                                                                                                                  Încheiați procesul fără a trece la producție

                                                                                                                                                  Dacă, în timpul perioadei de probă, decideți să nu continuați cu implementarea securității datelor hibride, puteți dezactiva securitatea datelor hibride, care încheie perioada de probă și mută utilizatorii de încercare înapoi la serviciile de securitate a datelor în cloud. Utilizatorii procesului vor pierde accesul la datele care au fost criptate în timpul procesului.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2

                                                                                                                                                  Sub Securitatea datelor hibride, faceți clic pe Setări.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Dezactivare, faceți clic pe Dezactivare.

                                                                                                                                                  4

                                                                                                                                                  Confirmați că doriți să dezactivați serviciul și să finalizați procesul.

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Gestionați implementarea HDS

                                                                                                                                                  Utilizați sarcinile descrise aici pentru a gestiona implementarea securității datelor hibride.

                                                                                                                                                  Setați programul de upgrade al clusterului

                                                                                                                                                  Upgrade-urile de software pentru securitatea datelor hibride se fac automat la nivelul clusterului, ceea ce asigură că toate nodurile rulează întotdeauna aceeași versiune de software. Upgrade-urile se efectuează în conformitate cu programul de upgrade pentru cluster. Când un upgrade de software devine disponibil, aveți opțiunea de a actualiza manual clusterul înainte de ora programată de upgrade. Puteți seta un program specific de upgrade sau puteți utiliza programul implicit de 3:00 AM Daily Statele Unite ale Americii: America/Los Angeles. De asemenea, puteți alege să amânați un upgrade viitor, dacă este necesar.

                                                                                                                                                  Pentru a seta programul de upgrade:

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la Control Hub .

                                                                                                                                                  2

                                                                                                                                                  Pe pagina Prezentare generală, în secțiunea Servicii hibride, selectați Securitatea datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Resurse de securitate a datelor hibride, selectați clusterul.

                                                                                                                                                  4

                                                                                                                                                  În panoul Prezentare generală din dreapta, în secțiunea Setări cluster, selectați numele clusterului.

                                                                                                                                                  5

                                                                                                                                                  Pe pagina Setări, în secțiunea Upgrade, selectați ora și fusul orar pentru programul de upgrade.

                                                                                                                                                  Notă: În cadrul fusului orar, se afișează următoarea dată și oră de upgrade disponibile. Puteți amâna upgrade-ul până în ziua următoare, dacă este necesar, făcând clic pe Amânare.

                                                                                                                                                  Modificarea configurației nodului

                                                                                                                                                  Ocazional, poate fi necesar să modificați configurația nodului Hybrid Data Security dintr-un motiv precum:
                                                                                                                                                  • Modificarea certificatelor x.509 din cauza expirării sau din alte motive.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm schimbarea nume domeniu CN al unui certificat. Domeniul trebuie să corespundă domeniului inițial utilizat pentru înregistrarea clusterului.

                                                                                                                                                  • Actualizarea setărilor bazei de date pentru a trece la o replică a bazei de date PostgreSQL sau Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nu acceptăm migrarea datelor de la PostgreSQL la Microsoft SQL Server sau invers. Pentru a comuta mediul bazei de date, începeți o nouă implementare a Hybrid Data Security.

                                                                                                                                                  • Crearea unei noi configurații pentru pregătirea unui nou centru de date.

                                                                                                                                                  De asemenea, din motive de securitate, Hybrid Data Security utilizează parole ale cont al serviciului care au o durată de viață de nouă luni. După ce instrumentul de configurare HDS generează aceste parole, le implementați în fiecare dintre nodurile HDS din fișierul de configurare ISO . Când parolele organizației dvs. se apropie de expirare, primiți o notificare de la echipa Webex prin care vă rugăm să resetați parola pentru contul computerului dvs. (E-mailul include textul „Utilizați API -ul contului de computer pentru a actualiza parola.”) Dacă parolele nu au expirat încă, instrumentul vă oferă două opțiuni:

                                                                                                                                                  • Resetare soft —Parolele vechi și noi sunt valabile până la 10 zile. Utilizați această perioadă pentru a înlocui treptat fișierul ISO pe noduri.

                                                                                                                                                  • Resetare hardware — Parolele vechi nu mai funcționează imediat.

                                                                                                                                                  Dacă parolele expiră fără resetare, acest lucru afectează serviciul HDS, necesitând o resetare hardware imediată și înlocuirea fișierului ISO pe toate nodurile.

                                                                                                                                                  Utilizați această procedură pentru a genera un nou fișier ISO de configurare și a-l aplica clusterului dvs.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în 1.e. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Aveți nevoie de o copie a fișierului ISO de configurare curentă pentru a genera o nouă configurație. ISO conține cheia principală de criptare a bazei de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de ISO când efectuați modificări de configurare, inclusiv date de autentificare în baza de date, actualizări de certificate sau modificări ale politicii de autorizare.

                                                                                                                                                  1

                                                                                                                                                  Utilizând Docker pe un computer local, rulați Instrumentul de configurare HDS.

                                                                                                                                                  1. În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2. Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. La solicitarea parolei, introduceți acest hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                    În medii obișnuite:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    În mediile FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Asigurați-vă că ați extras cel mai recent instrument de configurare pentru această procedură. Versiunile instrumentului create înainte de 22 februarie 2018 nu au ecrane de resetare a parolei.

                                                                                                                                                  5. Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                    • În mediile obișnuite fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În medii obișnuite cu un HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • În mediile FedRAMP fără un proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6. Utilizați un browser pentru a vă conecta la localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  7. Când vi se solicită, introduceți datele de conectare pentru client Control Hub și apoi faceți clic Acceptați pentru a continua.

                                                                                                                                                  8. Importați fișierul ISO de configurație curentă.

                                                                                                                                                  9. Urmați instrucțiunile pentru a finaliza instrumentul și descărcați fișierul actualizat.

                                                                                                                                                    Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  10. Creați o copie de rezervă a fișierului actualizat într-un alt centru de date.

                                                                                                                                                  2

                                                                                                                                                  Dacă aveți un singur nod HDS care rulează , creați un nou VM nod Hybrid Data Security și înregistrați-l utilizând noul fișier ISO de configurare. Pentru instrucțiuni mai detaliate, consultați Creați și înregistrați mai multe noduri.

                                                                                                                                                  1. Instalați OVA gazdă HDS.

                                                                                                                                                  2. Configurați VM HDS .

                                                                                                                                                  3. Montați fișier de configurare actualizat .

                                                                                                                                                  4. Înregistrați noul nod în Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pentru nodurile HDS existente care rulează fișierul de fișier de configurare mai vechi , montați fișierul ISO . Efectuați următoarea procedură pe fiecare nod pe rând, actualizând fiecare nod înainte de a opri următorul nod:

                                                                                                                                                  1. Opriți mașină virtuală.

                                                                                                                                                  2. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO și navigați până la locația de unde ați descărcat noul fișier ISO de configurare.

                                                                                                                                                  4. Verificați Conectați la pornire .

                                                                                                                                                  5. Salvați modificările și porniți mașină virtuală.

                                                                                                                                                  4

                                                                                                                                                  Repetați pasul 3 pentru a înlocui configurația pe fiecare nod rămas care rulează configurația veche.

                                                                                                                                                  Dezactivați Modul De Rezoluție DNS Externă Blocat

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. Dacă serverul DNS al nodului nu poate rezolva numele DNS publice, nodul intră automat în modul de Rezoluție DNS Externă Blocată.

                                                                                                                                                  Dacă nodurile dvs. sunt capabile să rezolve numele DNS publice prin intermediul serverelor DNS interne, puteți dezactiva acest mod prin reactivarea testului de conexiune proxy pe fiecare nod.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Asigurați-vă că serverele DNS interne pot rezolva numele DNS publice și că nodurile dvs. pot comunica cu acestea.
                                                                                                                                                  1

                                                                                                                                                  Într-un browser web, deschideți interfața nodului de securitate a datelor hibride (adresă IP/configurare, de exemplu, https://192.0.2.0/setup), introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Prezentare generală (pagina implicită).

                                                                                                                                                  Când este activat, Rezoluție DNS externă blocată este setat la Da .

                                                                                                                                                  3

                                                                                                                                                  Accesați pagina Trust Store & Proxy .

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a avut succes, nodul nu a putut ajunge la serverul DNS și va rămâne în acest mod. În caz contrar, după ce reporniți nodul și reveniți la pagina Prezentare generală , Rezoluția DNS externă blocată trebuie setată la nr.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Repetați testul conexiunii proxy pe fiecare nod din clusterul de securitate a datelor hibride.

                                                                                                                                                  Eliminați un nod

                                                                                                                                                  Utilizați această procedură pentru a elimina un nod de securitate a datelor hibride din cloudul Webex. După ce eliminați nodul din cluster, ștergeți mașina virtuală pentru a preveni accesul suplimentar la datele dvs. de securitate.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi și pentru a dezactiva mașina virtuală.

                                                                                                                                                  2

                                                                                                                                                  Eliminați nodul:

                                                                                                                                                  1. Conectați-vă la Control Hub, apoi selectați Servicii.

                                                                                                                                                  2. Pe cardul de securitate a datelor hibride, faceți clic pe Vizualizare toate pentru a afișa pagina Resurse de securitate a datelor hibride.

                                                                                                                                                  3. Selectați clusterul pentru a afișa panoul de Prezentare generală.

                                                                                                                                                  4. Faceți clic pe lista de noduri deschise.

                                                                                                                                                  5. În fila Noduri, selectați nodul pe care doriți să îl eliminați.

                                                                                                                                                  6. Faceți clic pe Acțiuni > Deregister node.

                                                                                                                                                  3

                                                                                                                                                  În clientul vSphere, ștergeți VM. (În panoul de navigare din stânga, faceți clic dreapta pe VM și faceți clic pe Ștergere.)

                                                                                                                                                  Dacă nu ștergeți VM, nu uitați să dezasamblați fișierul de configurare ISO. Fără fișierul ISO, nu puteți utiliza VM pentru a accesa datele de securitate.

                                                                                                                                                  Recuperare dezastre utilizând Centrul de date standby

                                                                                                                                                  Cel mai important serviciu pe care îl oferă clusterul de securitate a datelor hibride este crearea și stocarea de taste utilizate pentru criptarea mesajelor și a altor conținuturi stocate în cloudul Webex. Pentru fiecare utilizator din cadrul organizației care este atribuit securității datelor hibride, noile solicitări de creare a cheii sunt direcționate către cluster. Clusterul este, de asemenea, responsabil pentru returnarea cheilor pe care le-a creat oricărui utilizator autorizat să le recupereze, de exemplu, membrii unui spațiu de conversație.

                                                                                                                                                  Deoarece clusterul îndeplinește funcția critică de furnizare a acestor chei, este imperativ ca clusterul să rămână în funcțiune și să fie menținute backup-uri corespunzătoare. Pierderea bazei de date Hybrid Data Security sau a configurației ISO utilizate pentru schemă va duce la PIERDEREA INRECUPERABILĂ a conținutului clientului. Următoarele practici sunt obligatorii pentru a preveni o astfel de pierdere:

                                                                                                                                                  Dacă un dezastru face ca implementarea HDS în centrul de date principal să devină indisponibilă, urmați această procedură pentru a eșua manual la centrul de date standby.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos sau eliminați passiveMode configurare pentru a activa nodul. Nodul poate gestiona traficul odată ce acesta este configurat.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați ieșirea syslog pentru a verifica dacă nodurile centrului de date standby nu sunt în mod pasiv. „KMS configurat în mod pasiv” nu trebuie să apară în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După eșec, dacă centrul principal de date devine din nou activ, plasați centrul de date în așteptare în modul pasiv, urmând pașii descriși în Configurarea centrului de date în așteptare pentru recuperarea dezastrelor.

                                                                                                                                                  (Opțional) Dezasamblare ISO După configurarea HDS

                                                                                                                                                  Configurația standard HDS rulează cu ISO montat. Dar, unii clienți preferă să nu lase fișierele ISO montate în mod continuu. Puteți demonta fișierul ISO după ce toate nodurile HDS preiau noua configurație.

                                                                                                                                                  Utilizați în continuare fișierele ISO pentru a face modificări de configurare. Când creați un nou ISO sau actualizați un ISO prin Instrumentul de configurare, trebuie să montați ISO actualizat pe toate nodurile HDS. După ce toate nodurile dvs. au preluat modificările de configurare, puteți demonta din nou ISO cu această procedură.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Actualizați toate nodurile HDS la versiunea 2021.01.22.4720 sau o versiune ulterioară.

                                                                                                                                                  1

                                                                                                                                                  Închideți unul dintre nodurile HDS.

                                                                                                                                                  2

                                                                                                                                                  În dispozitivul server vCenter, selectați nodul HDS.

                                                                                                                                                  3

                                                                                                                                                  Alegeți Editați setările > CD/DVD drive și debifați fișierul ISO Datastore.

                                                                                                                                                  4

                                                                                                                                                  Alimentați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 20 de minute.

                                                                                                                                                  5

                                                                                                                                                  Repetați pentru fiecare nod HDS la rândul său.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Vizualizare alerte și depanare

                                                                                                                                                  O implementare a securității datelor hibride este considerată indisponibilă dacă toate nodurile din cluster sunt inaccesibile sau clusterul funcționează atât de lent încât solicită timp de excludere. Dacă utilizatorii nu pot ajunge la clusterul dvs. de securitate a datelor hibride, aceștia experimentează următoarele simptome:

                                                                                                                                                  • Nu se pot crea spații noi (nu se pot crea chei noi)

                                                                                                                                                  • Mesajele și titlurile spațiului nu pot fi decriptate pentru:

                                                                                                                                                    • Utilizatori noi adăugați într-un spațiu (nu se pot prelua tastele)

                                                                                                                                                    • Utilizatorii existenți dintr-un spațiu care utilizează un client nou (nu pot prelua tastele)

                                                                                                                                                  • Utilizatorii existenți într-un spațiu vor continua să ruleze cu succes atâta timp cât clienții lor au un cache al cheilor de criptare

                                                                                                                                                  Este important să monitorizați în mod corespunzător clusterul de securitate a datelor hibride și să adresați imediat orice alerte pentru a evita perturbarea serviciului.

                                                                                                                                                  Alerte

                                                                                                                                                  Dacă există o problemă cu configurarea securității datelor hibride, Control Hub afișează alerte administratorului organizației și trimite e-mailuri la adresa de e-mail configurată. Alertele acoperă multe scenarii comune.

                                                                                                                                                  Tabelul 1. Probleme comune și pașii pentru a le rezolva

                                                                                                                                                  Alerte

                                                                                                                                                  Acțiune

                                                                                                                                                  Eșecul accesului la baza de date locală.

                                                                                                                                                  Verificați erorile bazei de date sau problemele de rețea locale.

                                                                                                                                                  Eșecul conexiunii la baza de date locală.

                                                                                                                                                  Verificați dacă serverul bazei de date este disponibil, iar acreditările contului de serviciu corespunzător au fost utilizate în configurația nodului.

                                                                                                                                                  Eșecul accesului la servicii în cloud.

                                                                                                                                                  Verificați dacă nodurile pot accesa serverele Webex astfel cum sunt specificate în cerințele de conectivitate externă.

                                                                                                                                                  Reînnoirea înregistrării serviciului în cloud.

                                                                                                                                                  S-a renunțat la înscrierea în serviciile cloud. Reînnoirea înregistrării este în curs.

                                                                                                                                                  Înscrierea în serviciul Cloud a scăzut.

                                                                                                                                                  Înscrierea la serviciile cloud s-a încheiat. Serviciul se închide.

                                                                                                                                                  Serviciul nu este încă activat.

                                                                                                                                                  Activați un proces sau finalizați mutarea procesului la producție.

                                                                                                                                                  Domeniul configurat nu corespunde certificatului serverului.

                                                                                                                                                  Asigurați-vă că certificatul serverului dvs. corespunde domeniului de activare a serviciului configurat.

                                                                                                                                                  Cauza cea mai probabilă este că certificatul CN a fost modificat recent și este acum diferit de CN care a fost utilizat în timpul configurării inițiale.

                                                                                                                                                  Nu s-a reușit autentificarea la serviciile cloud.

                                                                                                                                                  Verificați acuratețea și posibila expirare a acreditărilor contului de serviciu.

                                                                                                                                                  Nu s-a reușit deschiderea fișierului local de keystore.

                                                                                                                                                  Verificați integritatea și precizia parolei în fișierul de keystore local.

                                                                                                                                                  Certificatul serverului local este nevalid.

                                                                                                                                                  Verificați data de expirare a certificatului serverului și confirmați că acesta a fost eliberat de o autoritate de certificare de încredere.

                                                                                                                                                  Nu se pot posta măsurători.

                                                                                                                                                  Verificați accesul la rețeaua locală la serviciile cloud externe.

                                                                                                                                                  directorul /media/configdrive/hds nu există.

                                                                                                                                                  Verificați configurația de montare ISO pe gazda virtuală. Verificați dacă fișierul ISO există, dacă este configurat să fie montat pe repornire și dacă se montează cu succes.

                                                                                                                                                  Depanarea securității datelor hibride

                                                                                                                                                  Utilizați următoarele orientări generale atunci când depanați problemele legate de securitatea datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Revizuiți Control Hub pentru orice alerte și remediați orice elemente pe care le găsiți acolo.

                                                                                                                                                  2

                                                                                                                                                  Revizuiți ieșirea serverului syslog pentru activitatea din implementarea securității datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Contactați asistența Cisco.

                                                                                                                                                  Alte note

                                                                                                                                                  Probleme cunoscute pentru securitatea datelor hibride

                                                                                                                                                  • Dacă închideți clusterul de securitate a datelor hibride (prin ștergerea acestuia în Control Hub sau prin închiderea tuturor nodurilor), pierdeți fișierul ISO de configurare sau pierdeți accesul la baza de date Keystore, utilizatorii aplicației Webex nu mai pot utiliza spații din lista lor de persoane care au fost create cu tastele din KMS. Acest lucru este valabil atât pentru operațiunile de încercare, cât și pentru operațiunile de producție. În prezent, nu avem un loc de muncă sau o soluție pentru această problemă și vă solicităm să nu închideți serviciile HDS odată ce acestea gestionează conturile de utilizator active.

                                                                                                                                                  • Un client care are o conexiune ECDH existentă la un KMS menține acea conexiune pentru o perioadă de timp (probabil o oră). Atunci când un utilizator devine membru al unui proces de securitate a datelor hibride, clientul utilizatorului continuă să utilizeze conexiunea ECDH existentă până la expirarea acesteia. Alternativ, utilizatorul se poate deconecta și reconecta la aplicația Aplicației Webex pentru a actualiza locația pe care aplicația o contactează pentru cheile de criptare.

                                                                                                                                                    Același comportament apare atunci când mutați un proces la producție pentru organizație. Toți utilizatorii non-trial cu conexiuni ECDH existente la serviciile anterioare de securitate a datelor vor continua să utilizeze aceste servicii până când conexiunea ECDH este renegociată (prin expirare sau prin deconectare și reconectare).

                                                                                                                                                  Utilizați OpenSSL pentru a genera un fișier PKCS12

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • OpenSSL este un instrument care poate fi folosit pentru a face fișierul PKCS12 în formatul adecvat pentru încărcare în instrumentul de configurare HDS. Există alte modalități de a face acest lucru, și nu sprijinim sau promovăm un mod peste altul.

                                                                                                                                                  • Dacă alegeți să utilizați OpenSSL, oferim această procedură ca ghid pentru a vă ajuta să creați un fișier care îndeplinește cerințele certificatului X.509 din X.509 Cerințe de certificat. Înțelegeți aceste cerințe înainte de a continua.

                                                                                                                                                  • Instalați OpenSSL într-un mediu acceptat. Consultați https://www.openssl.org pentru software și documentație.

                                                                                                                                                  • Creați o tastă privată.

                                                                                                                                                  • Începeți această procedură atunci când primiți certificatul de server de la Autoritatea dvs. de certificare (CA).

                                                                                                                                                  1

                                                                                                                                                  Când primiți certificatul de server de la CA, salvați-l ca hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Afișați certificatul ca text și verificați detaliile.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizați un editor de text pentru a crea un fișier de pachet de certificate numit hdsnode-bundle.pem. Fișierul pachet trebuie să includă certificatul serverului, orice certificate CA intermediare și certificatele CA rădăcină, în formatul de mai jos:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creați fișierul .p12 cu numele prietenos kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Verificați detaliile certificatului serverului.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Introduceți o parolă la solicitarea de criptare a cheii private, astfel încât aceasta să fie listată în ieșire. Apoi, verificați dacă cheia privată și primul certificat includ liniile friendlyName: kms-private-key.

                                                                                                                                                    Exemplu:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Reveniți la Completarea Condițiilor prealabile pentru securitatea datelor hibride. Veţi utiliza hdsnode.p12 fișier și parola pe care ați setat-o pentru acesta, în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Puteți reutiliza aceste fișiere pentru a solicita un nou certificat atunci când certificatul original expiră.

                                                                                                                                                  Trafic între nodurile HDS și cloud

                                                                                                                                                  Trafic colecție metrică de ieșire

                                                                                                                                                  Nodurile de securitate a datelor hibride trimit anumite măsurători în cloudul Webex. Acestea includ măsurători de sistem pentru înălțimea maximă, înălțimea utilizată, sarcina CPU și numărul de fire; măsurători pe fire sincrone și asincronice; măsurători pe alerte care implică un prag de conexiuni de criptare, latență sau o lungime a cozii de solicitare; măsurători pe placa de date; și măsurători de conexiune de criptare. Nodurile trimit material cheie criptat printr-un canal în afara benzii (separat de solicitare).

                                                                                                                                                  Trafic de intrare

                                                                                                                                                  Nodurile de securitate a datelor hibride primesc următoarele tipuri de trafic de intrare din cloudul Webex:

                                                                                                                                                  • Cereri de criptare de la clienți, care sunt rutate de serviciul de criptare

                                                                                                                                                  • Actualizări la software-ul nodului

                                                                                                                                                  Configurați proxy-urile Squid pentru securitatea datelor hibride

                                                                                                                                                  Șoseta web nu se poate Conecta Prin Proxy Squid

                                                                                                                                                  Proxy-urile Squid care inspectează traficul HTTPS pot interfera cu stabilirea websocket ( wss:) conexiuni care necesită Securitatea datelor hibride. Aceste secțiuni oferă îndrumări cu privire la modul de configurare a diferitelor versiuni de Squid pentru a ignora wss: trafic pentru buna funcționare a serviciilor.

                                                                                                                                                  Squid 4 și 5

                                                                                                                                                  Adăugați on_unsupported_protocol directivă privind squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Squid 3.5.27

                                                                                                                                                  Am testat cu succes Securitatea datelor hibride cu următoarele reguli adăugate la squid.conf. Aceste reguli se pot modifica pe măsură ce dezvoltăm caracteristici și actualizăm cloudul Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefață

                                                                                                                                                  Informații noi și modificate

                                                                                                                                                  Dată

                                                                                                                                                  Modificări efectuate

                                                                                                                                                  20 octombrie 2023

                                                                                                                                                  07 august 2023

                                                                                                                                                  23 mai 2023

                                                                                                                                                  06 decembrie 2022

                                                                                                                                                  23 noiembrie 2022

                                                                                                                                                  13 octombrie 2021

                                                                                                                                                  Docker Desktop trebuie să ruleze un program de configurare înainte de a putea instala noduri HDS. Consultați Cerințele de desktop ale Docker.

                                                                                                                                                  24 iunie 2021

                                                                                                                                                  Rețineți că puteți reutiliza fișierul cu tastatură privată și CSR pentru a solicita un alt certificat. Consultați Utilizarea OpenSSL pentru a genera un fișier PKCS12 pentru detalii.

                                                                                                                                                  30 aprilie 2021

                                                                                                                                                  A schimbat cerința VM pentru spațiul local pe hard disk la 30 GB. Consultați Cerințele Gazdei Virtuale pentru detalii.

                                                                                                                                                  24 februarie 2021

                                                                                                                                                  Instrumentul de configurare HDS poate rula acum în spatele unui proxy. Consultați Creați un ISO de configurare pentru gazdele HDS pentru detalii.

                                                                                                                                                  2 februarie 2021

                                                                                                                                                  HDS poate rula acum fără un fișier ISO montat. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  11 ianuarie 2021

                                                                                                                                                  Au fost adăugate informații despre instrumentul de configurare HDS și proxy-uri pentru a crea un ISO de configurare pentru gazdele HDS.

                                                                                                                                                  13 octombrie 2020

                                                                                                                                                  Fișiere de instalare Descărcare actualizate.

                                                                                                                                                  8 octombrie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu comenzi pentru mediile FedRAMP.

                                                                                                                                                  14 august 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS și modificați configurația nodului cu modificări ale procesului de conectare.

                                                                                                                                                  5 august 2020

                                                                                                                                                  Actualizat Testați implementarea securității datelor hibride pentru modificări ale mesajelor jurnal.

                                                                                                                                                  S-au actualizat Cerințele Gazdei Virtuale pentru a elimina numărul maxim de gazde.

                                                                                                                                                  16 iunie 2020

                                                                                                                                                  Actualizat Eliminați un nod pentru modificările din interfața cu utilizatorul Control Hub.

                                                                                                                                                  4 iunie 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru modificările din Setările avansate pe care le-ați putea seta.

                                                                                                                                                  29 mai 2020

                                                                                                                                                  Actualizat Creați un ISO de configurare pentru gazdele HDS pentru a afișa puteți utiliza, de asemenea, TLS cu baze de date SQL Server, modificări de interfață de utilizator și alte clarificări.

                                                                                                                                                  5 mai 2020

                                                                                                                                                  Actualizat Cerințele Gazdei Virtuale pentru a afișa noua cerință a ESXi 6.5.

                                                                                                                                                  21 aprilie 2020

                                                                                                                                                  Actualizat Cerințe de conectivitate externă cu noi gazde CI din America.

                                                                                                                                                  Aprilie 1, 2020

                                                                                                                                                  Actualizat Cerințele de conectivitate externă cu informații despre gazdele regionale CI.

                                                                                                                                                  20 februarie 2020Actualizat Creați un ISO de configurare pentru gazdele HDS cu informații despre noul ecran opțional de setări avansate din instrumentul de configurare HDS.
                                                                                                                                                  4 februarie 2020Cerințe server proxy actualizate.
                                                                                                                                                  16 decembrie 2019A clarificat cerința ca modul de rezoluție DNS extern blocat să funcționeze în cerințele serverului proxy.
                                                                                                                                                  19 noiembrie 2019

                                                                                                                                                  Au fost adăugate informații despre modul de rezoluție DNS extern blocat în următoarele secțiuni:

                                                                                                                                                  8 noiembrie 2019

                                                                                                                                                  Acum puteți configura setările de rețea pentru un nod în timp ce implementați OVA, mai degrabă decât ulterior.

                                                                                                                                                  Actualizat în consecință următoarele secțiuni:


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  6 septembrie 2019

                                                                                                                                                  S-a adăugat standardul SQL Server la cerințele serverului bazei de date.

                                                                                                                                                  august 29, 2019A fost adăugată Configurarea proxy-urilor Squid pentru securitatea datelor hibride , cu îndrumări privind configurarea proxy-urilor Squid pentru a ignora traficul websocket pentru funcționarea corespunzătoare.
                                                                                                                                                  20 august 2019

                                                                                                                                                  Secțiuni adăugate și actualizate pentru a acoperi asistența proxy pentru comunicațiile nodului de securitate a datelor hibride în cloudul Webex.

                                                                                                                                                  Pentru a accesa doar conținutul de asistență proxy pentru o implementare existentă, consultați Asistența proxy pentru securitatea datelor hibride și articolul de ajutor Webex Video Mesh .

                                                                                                                                                  13 iunie 2019A fost actualizat Fluxul de activități de producție cu un memento pentru a sincroniza HdsTrialGroup obiectul de grup înainte de a începe un trial dacă organizația dvs. utilizează sincronizarea directorului.
                                                                                                                                                  6 martie 2019
                                                                                                                                                  februarie 28, 2019
                                                                                                                                                  • A corectat cantitatea de spațiu pe hard disk local pe server pe care ar trebui să o setați deoparte atunci când pregătiți gazdele virtuale care devin nodurile de securitate a datelor hibride, de la 50-GB la 20-GB, pentru a reflecta dimensiunea discului pe care OVA îl creează.

                                                                                                                                                  26 februarie 2019
                                                                                                                                                  • Nodurile de securitate a datelor hibride acceptă acum conexiuni criptate cu serverele bazei de date PostgreSQL și conexiuni criptate de conectare la un server syslog TLS capabil. Actualizat Creați un ISO de configurare pentru gazdele HDS cu instrucțiuni.

                                                                                                                                                  • URL-urile de destinație au fost eliminate din tabelul „Cerințe de conectivitate la internet pentru nodul de securitate a datelor hibride VMs”. Tabelul se referă acum la lista menținută în tabelul „URL-uri suplimentare pentru serviciile hibride Webex Teams” din Cerințele rețelei pentru serviciile Webex Teams.

                                                                                                                                                  24 ianuarie 2019

                                                                                                                                                  • Securitatea datelor hibride acceptă acum Microsoft SQL Server ca bază de date. SQL Server întotdeauna activat (întotdeauna pe clusterele de eșec și întotdeauna pe grupurile de disponibilitate) este acceptat de driverele JDBC care sunt utilizate în securitatea datelor hibride. Conținut adăugat legat de implementarea cu SQL Server.


                                                                                                                                                     

                                                                                                                                                    Asistența pentru serverul Microsoft SQL este destinată numai noilor implementări ale securității datelor hibride. În prezent, nu acceptăm migrarea datelor de la PostgreSQL la serverul Microsoft SQL în cadrul unei implementări existente.

                                                                                                                                                  noiembrie 5, 2018
                                                                                                                                                  19 octombrie 2018

                                                                                                                                                  31 iulie 2018

                                                                                                                                                  21 mai 2018

                                                                                                                                                  Terminologia modificată pentru a reflecta rebranding-ul Cisco Spark:

                                                                                                                                                  • Securitatea datelor hibride Cisco Spark este acum Securitatea datelor hibride.

                                                                                                                                                  • Aplicația Cisco Spark este acum aplicația Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud este acum cloudul Webex.

                                                                                                                                                  11 aprilie 2018
                                                                                                                                                  22 februarie 2018
                                                                                                                                                  februarie 15, 2018
                                                                                                                                                  • În tabelul X.509 Cerințe privind certificatul , s-a specificat că certificatul nu poate fi un certificat de carte de vizită și că KMS utilizează domeniul CN, nu orice domeniu definit în câmpurile SAN x.509v3.

                                                                                                                                                  ianuarie 18, 2018

                                                                                                                                                  noiembrie 2, 2017

                                                                                                                                                  • Sincronizarea directorului clarificată a HdsTrialGroup.

                                                                                                                                                  • Fix instrucțiuni pentru încărcarea fișierului de configurare ISO pentru montare la nodurile VM.

                                                                                                                                                  18 august 2017

                                                                                                                                                  Prima publicare

                                                                                                                                                  Începeți cu securitatea datelor hibride

                                                                                                                                                  Prezentare generală a securității datelor hibride

                                                                                                                                                  Începând cu prima zi, securitatea datelor a fost accentul principal în proiectarea Aplicației Webex. Piatra de temelie a acestei securități este criptarea conținutului end-to-end, activată de clienții aplicației Webex care interacționează cu Serviciul de gestionare a cheilor (KMS). KMS este responsabil pentru crearea și gestionarea cheilor criptografice pe care clienții le utilizează pentru a cripta și decripta în mod dinamic mesajele și fișierele.

                                                                                                                                                  În mod implicit, toți clienții Aplicației Webex primesc criptare end-to-end cu chei dinamice stocate în KMS cloud, în domeniul de securitate al Cisco. Hybrid Data Security mută KMS și alte funcții legate de securitate în centrul de date la nivel de întreprindere dvs., astfel încât nimeni în afară de dvs. să nu dețină cheile conținutului dvs. criptat.

                                                                                                                                                  Arhitectură Realm de securitate

                                                                                                                                                  Arhitectura cloud Webex separă diferite tipuri de servicii în domenii separate sau domenii de încredere, după cum este descris mai jos.

                                                                                                                                                  Domenii de separare (fără securitate hibridă a datelor)

                                                                                                                                                  Pentru a înțelege în continuare securitatea datelor hibride, să ne uităm mai întâi la acest caz cloud pur, în care Cisco oferă toate funcțiile din domeniile sale cloud. Serviciul de identitate, singurul loc în care utilizatorii pot fi direct corelați cu informațiile lor personale, cum ar fi adresa de e-mail, este separat în mod logic și fizic de domeniul de securitate din centrul de date B. Ambele sunt, la rândul lor, separate de domeniul în care conținutul criptat este stocat în cele din urmă, în centrul de date C.

                                                                                                                                                  În această diagramă, clientul este aplicația Webex care rulează pe laptopul unui utilizator și s-a autentificat cu serviciul de identitate. Când utilizatorul compune un mesaj pentru a trimite într-un spațiu, au loc următorii pași:

                                                                                                                                                  1. Clientul stabilește o conexiune securizată cu serviciul de gestionare a cheilor (KMS), apoi solicită o cheie pentru a cripta mesajul. Conexiunea securizată utilizează ECDH, iar KMS criptează cheia utilizând o cheie principală AES-256.

                                                                                                                                                  2. Mesajul este criptat înainte de a părăsi clientul. Clientul îl trimite la serviciul de indexare, care creează indexuri de căutare criptate pentru a ajuta în căutările viitoare pentru conținut.

                                                                                                                                                  3. Mesajul criptat este trimis serviciului de conformitate pentru verificări de conformitate.

                                                                                                                                                  4. Mesajul criptat este stocat în domeniul de stocare.

                                                                                                                                                  Când implementați Securitatea datelor hibride, mutați funcțiile domeniului de securitate (KMS, indexare și conformitate) în centrul dvs. de date local. Celelalte servicii cloud care alcătuiesc Webex (inclusiv stocarea identității și a conținutului) rămân în domeniile Cisco.

                                                                                                                                                  Colaborarea cu Alte Organizații

                                                                                                                                                  Utilizatorii din organizația dvs. pot utiliza în mod regulat Aplicația Webex pentru a colabora cu participanți externi din alte organizații. Când unul dintre utilizatorii dvs. solicită o cheie pentru un spațiu care este deținut de organizația dvs. (deoarece a fost creat de unul dintre utilizatorii dvs.), KMS trimite cheia către client printr-un canal ECDH securizat. Cu toate acestea, atunci când o altă organizație deține cheia pentru spațiu, KMS-ul direcționează cererea către cloudul Webex printr-un canal ECDH separat pentru a obține cheia de la KMS-ul corespunzător și apoi returnează cheia către utilizatorul dvs. pe canalul original.

                                                                                                                                                  Serviciul KMS care rulează pe Org A validează conexiunile la KMS în alte organizații utilizând x.509 certificate PKI. Consultați Pregătiți-vă mediul pentru detalii despre generarea unui certificat x.509 pe care să-l utilizați cu implementarea securității datelor hibride.

                                                                                                                                                  Așteptări pentru implementarea securității datelor hibride

                                                                                                                                                  O implementare a securității datelor hibride necesită un angajament semnificativ din partea clienților și o conștientizare a riscurilor pe care le implică deținerea cheilor de criptare.

                                                                                                                                                  Pentru a implementa securitatea datelor hibride, trebuie să furnizați:

                                                                                                                                                  Pierderea completă a configurației ISO pe care o construiți pentru securitatea datelor hibride sau a bazei de date pe care o furnizați va duce la pierderea tastelor. Pierderea tastelor împiedică utilizatorii să decripteze conținutul spațiului și alte date criptate în Aplicația Webex. Dacă se întâmplă acest lucru, puteți construi o nouă implementare, dar numai conținut nou va fi vizibil. Pentru a evita pierderea accesului la date, trebuie:

                                                                                                                                                  • Gestionați backup-ul și recuperarea bazei de date și configurația ISO.

                                                                                                                                                  • Fiți pregătiți să efectuați recuperarea rapidă a dezastrelor dacă apare o catastrofă, cum ar fi defectarea discului de bază de date sau dezastrul centrului de date.


                                                                                                                                                   

                                                                                                                                                  Nu există niciun mecanism pentru a muta cheile înapoi în Cloud după o implementare HDS.

                                                                                                                                                  Proces de configurare la nivel înalt

                                                                                                                                                  Acest document acoperă configurarea și gestionarea implementării securității datelor hibride:

                                                                                                                                                  • Configurați securitatea datelor hibride—Aceasta include pregătirea infrastructurii necesare și instalarea software-ului de securitate a datelor hibride, testarea implementării dvs. cu un subset de utilizatori în modul de încercare și, odată ce testarea dvs. este finalizată, trecerea la producție. Aceasta convertește întreaga organizație pentru a utiliza clusterul dvs. de securitate a datelor hibride pentru funcțiile de securitate.

                                                                                                                                                    Fazele de configurare, încercare și producție sunt acoperite în detaliu în următoarele trei capitole.

                                                                                                                                                  • Mențineți implementarea securității datelor hibride—cloud-ul Webex oferă automat upgrade-uri în curs. Departamentul dvs. IT poate oferi un singur nivel de asistență pentru această implementare și poate angaja asistență Cisco după cum este necesar. Puteți utiliza notificări pe ecran și puteți configura alerte pe bază de e-mail în Control Hub.

                                                                                                                                                  • Înțelegerea alertelor comune, a pașilor de depanare și a problemelor cunoscute—Dacă întâmpinați probleme la implementarea sau utilizarea securității datelor hibride, ultimul capitol din acest ghid și apendicele Probleme cunoscute vă pot ajuta să determinați și să remediați problema.

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  În cadrul centrului dvs. de date al întreprinderii, implementați Securitatea datelor hibride ca un singur grup de noduri pe gazde virtuale separate. Nodurile comunică cu cloudul Webex prin prize web securizate și HTTP securizat.

                                                                                                                                                  În timpul procesului de instalare, vă oferim fișierul OVA pentru a configura dispozitivul virtual pe VMs pe care le furnizați. Utilizați instrumentul de configurare HDS pentru a crea un fișier ISO de configurare a clusterului personalizat pe care îl montați pe fiecare nod. Clusterul de securitate a datelor hibride utilizează serverul Syslogd furnizat și baza de date PostgreSQL sau Microsoft SQL Server. (Configurați detaliile conexiunii Syslogd și a bazei de date în Instrumentul de configurare HDS.)

                                                                                                                                                  Model de implementare a securității datelor hibride

                                                                                                                                                  Numărul minim de noduri pe care le puteți avea într-un cluster este de două. Vă recomandăm cel puțin trei, și puteți avea până la cinci. Existența mai multor noduri asigură faptul că serviciul nu este întrerupt în timpul unui upgrade de software sau al unei alte activități de întreținere pe un nod. (Cloudul Webex actualizează doar un nod la un moment dat.)

                                                                                                                                                  Toate nodurile dintr-un cluster accesează aceeași bază de date cu tastatură și înregistrează activitatea pe același server syslog. Nodurile în sine sunt apatride și se ocupă de solicitările cheie în modul rotund-robin, așa cum este direcționat de cloud.

                                                                                                                                                  Nodurile devin active atunci când le înregistrați în Control Hub. Pentru a scoate un nod individual din serviciu, îl puteți desînregistra și apoi îl puteți reînregistra, dacă este necesar.

                                                                                                                                                  Sprijinim doar un singur cluster per organizație.

                                                                                                                                                  Mod de încercare pentru securitatea datelor hibride

                                                                                                                                                  După configurarea unei implementări de securitate a datelor hibride, încercați mai întâi cu un set de utilizatori pilot. În timpul perioadei de încercare, acești utilizatori utilizează domeniul local de securitate a datelor hibride pentru cheile de criptare și alte servicii din domeniul de securitate. Ceilalți utilizatori continuă să utilizeze domeniul de securitate cloud.

                                                                                                                                                  Dacă decideți să nu continuați implementarea în timpul perioadei de încercare și să dezactivați serviciul, utilizatorii pilot și orice utilizatori cu care au interacționat prin crearea de spații noi în timpul perioadei de încercare vor pierde accesul la mesaje și conținut. Aceștia vor vedea „Acest mesaj nu poate fi decriptat” în aplicația Webex.

                                                                                                                                                  Dacă sunteți mulțumit că implementarea dvs. funcționează bine pentru utilizatorii de încercare și sunteți pregătit să extindeți Securitatea datelor hibride la toți utilizatorii dvs., mutați implementarea în producție. Utilizatorii pilot continuă să aibă acces la cheile care au fost utilizate în timpul încercării. Cu toate acestea, nu se poate muta înapoi și înainte între modul de producție și procesul inițial. Dacă trebuie să dezactivați serviciul, cum ar fi pentru a efectua recuperarea dezastrelor, atunci când reactivați, trebuie să începeți o nouă încercare și să configurați setul de utilizatori pilot pentru noua încercare înainte de a reveni la modul de producție. Dacă utilizatorii păstrează accesul la date în acest moment depinde de faptul dacă ați menținut cu succes copii de rezervă ale stocului de date cheie și ale fișierului de configurare ISO pentru nodurile de securitate a datelor hibride din cluster.

                                                                                                                                                  Centrul de date standby pentru recuperarea dezastrelor

                                                                                                                                                  În timpul implementării, ați configurat un centru de date standby securizat. În cazul unui dezastru al unui centru de date, puteți eșua manual implementarea în centrul de date standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Eşec manual la centrul de date standby

                                                                                                                                                  Bazele de date ale centrelor de date active și standby sunt în sincronizare unele cu altele, ceea ce va reduce la minimum timpul necesar pentru a efectua eșecul. Fișierul ISO al centrului de date standby este actualizat cu configurații suplimentare care asigură că nodurile sunt înregistrate în organizație, dar nu vor gestiona traficul. Prin urmare, nodurile centrului de date standby rămân întotdeauna la zi cu cea mai recentă versiune de software HDS.


                                                                                                                                                   

                                                                                                                                                  Nodurile active de securitate a datelor hibride trebuie să fie întotdeauna în același centru de date ca serverul de bază de date activă.

                                                                                                                                                  Configurarea Centrului de date standby pentru recuperarea dezastrelor

                                                                                                                                                  Urmați pașii de mai jos pentru a configura fișierul ISO al centrului de date standby:

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Centrul de date standby trebuie să reflecte mediul de producție al VMs și o bază de date PostgreSQL sau Microsoft SQL Server de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs. (Consultați Standby Data Center for Disaster Recovery pentru o prezentare generală a acestui model de eșec.)

                                                                                                                                                  • Asigurați-vă că sincronizarea bazei de date este activată între baza de date a nodurilor de cluster active și pasive.

                                                                                                                                                  1

                                                                                                                                                  Porniți instrumentul de configurare HDS și urmați pașii menționați în Creați un ISO de configurare pentru gazdele HDS.


                                                                                                                                                   

                                                                                                                                                  Fișierul ISO trebuie să fie o copie a fișierului ISO original al centrului de date principal pe care urmează să fie făcute următoarele actualizări de configurare.

                                                                                                                                                  2

                                                                                                                                                  După configurarea serverului Syslogd, faceți clic pe Setări avansate

                                                                                                                                                  3

                                                                                                                                                  Pe pagina Setări avansate, adăugați configurația de mai jos pentru a plasa nodul în modul pasiv. În acest mod, nodul va fi înregistrat în organizație și conectat la cloud, dar nu va gestiona niciun trafic.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completați procesul de configurare și salvați fișierul ISO într-o locație ușor de găsit.

                                                                                                                                                  5

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local. Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  6

                                                                                                                                                  În panoul de navigare din stânga al clientului VMware vSphere, faceți clic dreapta pe VM și faceți clic pe Editare setări..

                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Editare setări >CD/DVD Drive 1 și selectați Fișier ISO Datastore.


                                                                                                                                                   

                                                                                                                                                  Asigurați-vă că sunt verificate Conectate și Conectate la putere , astfel încât modificările de configurare actualizate să poată intra în vigoare după pornirea nodurilor.

                                                                                                                                                  8

                                                                                                                                                  Activați nodul HDS și asigurați-vă că nu există alarme timp de cel puțin 15 minute.

                                                                                                                                                  9

                                                                                                                                                  Repetați procesul pentru fiecare nod din centrul de date standby.


                                                                                                                                                   

                                                                                                                                                  Verificați jurnalele pentru a verifica dacă nodurile sunt în mod pasiv. Ar trebui să puteți vizualiza mesajul „KMS configurat în mod pasiv” în jurnalele de sistem.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  După configurare passiveMode în fișierul ISO și salvându-l, puteți crea o altă copie a fișierului ISO fără passiveMode configurare și salvați-l într-o locație sigură. Această copie a fișierului ISO fără passiveMode configurat poate ajuta într-un proces rapid de eșec în timpul recuperării dezastrelor. Consultați Recuperarea dezastrelor utilizând Centrul de date standby pentru procedura detaliată de nereușită.

                                                                                                                                                  Asistență proxy

                                                                                                                                                  Securitatea datelor hibride acceptă inspecții explicite, transparente și proxy-uri neinspectate. Puteți lega aceste proxy-uri de implementarea dvs., astfel încât să puteți securiza și monitoriza traficul de la întreprindere la cloud. Puteți utiliza o interfață de administrare a platformei pe noduri pentru gestionarea certificatelor și pentru a verifica starea generală a conectivității după ce ați configurat proxy-ul pe noduri.

                                                                                                                                                  Nodurile de securitate a datelor hibride acceptă următoarele opțiuni proxy:

                                                                                                                                                  • Fără proxy—Implicit dacă nu utilizați configurația de configurare a nodului HDS Trust Store și proxy pentru a integra un proxy. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Proxy fără inspecție transparent—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.

                                                                                                                                                  • Tunelare transparentă sau inspecție proxy—Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTP sau HTTPS pe noduri. Cu toate acestea, nodurile au nevoie de un certificat rădăcină, astfel încât să aibă încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).

                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți nodurilor HDS ce server proxy și sistem de autentificare să utilizați. Pentru a configura un proxy explicit, trebuie să introduceți următoarele informații pe fiecare nod:

                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—În funcție de ce acceptă serverul dvs. proxy, alegeți între următoarele protocoale:

                                                                                                                                                      • HTTP—Vizualizează și controlează toate solicitările pe care clientul le trimite.

                                                                                                                                                      • HTTPS—Oferă un canal serverului. Clientul primește și validează certificatul serverului.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil dacă selectați HTTP sau HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai dacă selectați HTTPS ca protocol proxy.

                                                                                                                                                        Vă cere să introduceți numele de utilizator și parola pe fiecare nod.

                                                                                                                                                  Exemplu de noduri hibride de securitate a datelor și proxy

                                                                                                                                                  Această diagramă arată o conexiune de exemplu între securitatea datelor hibride, rețea și un proxy. Pentru inspectarea transparentă și opțiunile HTTPS de inspecție explicită a proxy-urilor, trebuie instalat același certificat rădăcină pe proxy și pe nodurile de securitate a datelor hibride.

                                                                                                                                                  Modul de rezoluție DNS extern blocat (configurații proxy explicite)

                                                                                                                                                  Când înregistrați un nod sau verificați configurația proxy a nodului, procesul testează aspectul DNS și conectivitatea la cloudul Cisco Webex. În implementările cu configurații proxy explicite care nu permit rezoluția DNS externă pentru clienții interni, dacă nodul nu poate interoga serverele DNS, acesta intră automat în modul de Rezoluție DNS Externă Blocată. În acest mod, pot continua testele de înregistrare a nodurilor și alte teste de conectivitate proxy.

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  Cerințe privind securitatea datelor hibride

                                                                                                                                                  Cerințe de licență Cisco Webex

                                                                                                                                                  Pentru implementarea securității datelor hibride:

                                                                                                                                                  Cerințe Docker Desktop

                                                                                                                                                  Înainte de a instala nodurile HDS, aveți nevoie de Docker Desktop pentru a rula un program de configurare. Docker și-a actualizat recent modelul de licențiere. Este posibil ca organizația dvs. să necesite un abonament cu plată pentru Docker Desktop. Pentru detalii, consultați postarea de pe blogul Docker, " Docker actualizează și extinde abonamentele noastre la produse ".

                                                                                                                                                  X.509 Cerințe privind certificatul

                                                                                                                                                  Lanțul certificatului trebuie să îndeplinească următoarele cerințe:

                                                                                                                                                  Tabelul 1. Cerințe de certificare X.509 pentru implementarea securității datelor hibride

                                                                                                                                                  Obligatoriu

                                                                                                                                                  Detalii

                                                                                                                                                  • Semnată de o autoritate de certificare de încredere (CA)

                                                                                                                                                  În mod implicit, avem încredere în CA-urile din lista Mozilla (cu excepția WoSign și StartCom) la https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Poartă un nume de domeniu comun (CN) care identifică implementarea securității datelor hibride

                                                                                                                                                  • Nu este un certificat de carte de vizită

                                                                                                                                                  CN-ul nu trebuie să fie accesibil sau o gazdă live. Vă recomandăm să utilizați un nume care reflectă organizația dvs., de exemplu, hds.company.com.

                                                                                                                                                  CN nu trebuie să conțină un * (wildcard).

                                                                                                                                                  CN este utilizat pentru a verifica nodurile de securitate a datelor hibride pentru clienții Aplicației Webex. Toate nodurile de securitate a datelor hibride din clusterul dvs. utilizează același certificat. KMS-ul se identifică utilizând domeniul CN, nu orice domeniu care este definit în câmpurile SAN x.509v3.

                                                                                                                                                  După ce ați înregistrat un nod cu acest certificat, nu acceptăm schimbarea numelui domeniului CN. Alegeți un domeniu care se poate aplica atât implementărilor de încercare, cât și implementărilor de producție.

                                                                                                                                                  • Semnătură non-SHA1

                                                                                                                                                  Software-ul KMS nu acceptă semnăturile SHA1 pentru validarea conexiunilor la KMSs ale altor organizații.

                                                                                                                                                  • Format ca fișier PKCS #12 protejat prin parolă

                                                                                                                                                  • Utilizați numele prietenos al kms-private-key pentru a eticheta certificatul, cheia privată și orice certificate intermediare pentru a încărca.

                                                                                                                                                  Puteți utiliza un convertor, cum ar fi OpenSSL pentru a schimba formatul certificatului.

                                                                                                                                                  Va trebui să introduceți parola atunci când rulați Instrumentul de configurare HDS.

                                                                                                                                                  Software-ul KMS nu impune utilizarea cheii sau restricții extinse de utilizare a cheii. Unele autorități de certificare impun aplicarea unor restricții extinse de utilizare a cheilor pentru fiecare certificat, cum ar fi autentificarea serverului. Este în regulă să utilizați autentificarea serverului sau alte setări.

                                                                                                                                                  Cerințe Gazdă virtuală

                                                                                                                                                  Gazdele virtuale pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. au următoarele cerințe:

                                                                                                                                                  • Cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat

                                                                                                                                                  • VMware ESXi 6.5 (sau mai târziu) instalat și rulează.


                                                                                                                                                     

                                                                                                                                                    Trebuie să faceți upgrade dacă aveți o versiune anterioară a ESXi.

                                                                                                                                                  • Minim 4 vCPU-uri, 8-GB memorie principală, 30-GB spațiu pe hard disk local pe server

                                                                                                                                                  Cerințe server bază de date


                                                                                                                                                   

                                                                                                                                                  Creați o nouă bază de date pentru stocarea cheilor. Nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.

                                                                                                                                                  Există două opțiuni pentru serverul de baze de date. Cerințele pentru fiecare sunt după cum urmează:

                                                                                                                                                  Tabelul 2. Cerințe server bază de date în funcție de tipul de bază de date

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 sau 16, instalat și în funcțiune.

                                                                                                                                                  • Server SQL 2016, 2017 sau 2019 (Enterprise sau Standard) instalat.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 necesită pachetul de servicii 2 și actualizarea cumulativă 2 sau mai târziu.

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Minim 8 vCPU-uri, 16-GB de memorie principală, suficient spațiu pe hard disk și monitorizare pentru a se asigura că nu este depășit (2-TB recomandat dacă doriți să rulați baza de date pentru o lungă perioadă de timp, fără a fi nevoie de a crește spațiul de stocare)

                                                                                                                                                  Software-ul HDS instalează în prezent următoarele versiuni de drivere pentru comunicarea cu serverul bazei de date:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Șofer JDBC Postgres 42.2.5

                                                                                                                                                  Driver JDBC SQL Server 4.6

                                                                                                                                                  Această versiune a driverului acceptă SQL Server întotdeauna activat (întotdeauna pe instanțe de cluster nereușite și întotdeauna pe grupuri de disponibilitate).

                                                                                                                                                  Cerințe suplimentare pentru autentificarea Windows împotriva Microsoft SQL Server

                                                                                                                                                  Dacă doriți ca nodurile HDS să utilizeze autentificarea Windows pentru a obține acces la baza dvs. de date Keystore pe Microsoft SQL Server, atunci aveți nevoie de următoarea configurație în mediul dvs.:

                                                                                                                                                  • Nodurile HDS, infrastructura Active Directory și serverul MS SQL trebuie sincronizate cu NTP.

                                                                                                                                                  • Contul Windows pe care îl furnizați nodurilor HDS trebuie să aibă acces citit/scris la baza de date.

                                                                                                                                                  • Serverele DNS pe care le furnizați nodurilor HDS trebuie să poată rezolva Centrul dvs. de distribuție a cheilor (KDC).

                                                                                                                                                  • Puteți înregistra instanța bazei de date HDS pe serverul dvs. Microsoft SQL ca nume principal al serviciului (SPN) în directorul dvs. activ. Consultați Înregistrarea unui nume principal de serviciu pentru conexiunile Kerberos.

                                                                                                                                                    Instrumentul de configurare HDS, lansatorul HDS și KMS local trebuie să utilizeze autentificarea Windows pentru a accesa baza de date Keystore. Ei folosesc detaliile din configurația ISO pentru a construi SPN atunci când solicită acces cu autentificarea Kerberos.

                                                                                                                                                  Cerințe de conectivitate externă

                                                                                                                                                  Configurați firewall-ul pentru a permite următoarea conectivitate pentru aplicațiile HDS:

                                                                                                                                                  Aplicație

                                                                                                                                                  Protocol

                                                                                                                                                  Port

                                                                                                                                                  Direcție din aplicație

                                                                                                                                                  Destinație

                                                                                                                                                  Noduri de securitate a datelor hibride

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire și WSS

                                                                                                                                                  • Servere Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • Alte URL-uri care sunt listate pentru securitatea datelor hibride în tabelul URL-uri suplimentare pentru serviciile hibride Webex al cerințelor rețelei pentru serviciile Webex

                                                                                                                                                  Instrument de configurare HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS de ieșire

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Toate gazdele de identitate comune

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Nodurile de securitate a datelor hibride funcționează cu traducerea accesului la rețea (NAT) sau în spatele unui firewall, atâta timp cât NAT sau firewall permite conexiunile de ieșire necesare la destinațiile de domeniu din tabelul precedent. Pentru conexiunile care intră în nodurile de securitate a datelor hibride, niciun port nu trebuie să fie vizibil de pe internet. În cadrul centrului dvs. de date, clienții au nevoie de acces la nodurile de securitate a datelor hibride din porturile TCP 443 și 22, în scopuri administrative.

                                                                                                                                                  URL-urile gazdelor pentru identitatea comună (CI) sunt specifice regiunii. Acestea sunt gazdele actuale CI:

                                                                                                                                                  Regiune

                                                                                                                                                  URL-uri comune ale gazdei pentru identitate

                                                                                                                                                  Țările din America

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Uniunea Europeană

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Cerințe server proxy

                                                                                                                                                  • Sprijinim oficial următoarele soluții proxy care se pot integra cu nodurile dvs. de securitate a datelor hibride.

                                                                                                                                                  • Acceptăm următoarele combinații de tip autentificare pentru proxy-uri explicite:

                                                                                                                                                    • Nicio autentificare cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare de bază cu HTTP sau HTTPS

                                                                                                                                                    • Autentificare Digest numai cu HTTPS

                                                                                                                                                  • Pentru un proxy de inspecție transparent sau un proxy explicit HTTPS, trebuie să aveți o copie a certificatului rădăcină al proxy-ului. Instrucțiunile de implementare din acest ghid vă spun cum să încărcați copia în magazinele de încredere ale nodurilor de securitate a datelor hibride.

                                                                                                                                                  • Rețeaua care găzduiește nodurile HDS trebuie să fie configurată pentru a forța traficul TCP de ieșire în portul 443 să se deplaseze prin proxy.

                                                                                                                                                  • Proxy-urile care inspectează traficul web pot interfera cu conexiunile socket-urilor web. Dacă apare această problemă, ocolirea (nu inspectarea) traficului la wbx2.com și ciscospark.com va rezolva problema.

                                                                                                                                                  Completați cerințele preliminare pentru securitatea datelor hibride

                                                                                                                                                  Utilizați această listă de verificare pentru a vă asigura că sunteți gata să instalați și să configurați clusterul de securitate a datelor hibride.
                                                                                                                                                  1

                                                                                                                                                  Asigurați-vă că organizația dvs. Webex este activată pentru pachetul Pro pentru Cisco Webex Control Hub și obțineți acreditările unui cont cu drepturi depline de administrator al organizației. Contactați-vă partenerul Cisco sau managerul de cont pentru ajutor în acest proces.

                                                                                                                                                  2

                                                                                                                                                  Alegeți un nume de domeniu pentru implementarea HDS (de exemplu, hds.company.com) și să obțină un lanț de certificate care conține un certificat X.509, cheie privată și orice certificate intermediare. Lanțul certificatului trebuie să îndeplinească cerințele din Cerințele de certificare X.509.

                                                                                                                                                  3

                                                                                                                                                  Pregătiți gazdele virtuale identice pe care le veți configura ca noduri de securitate a datelor hibride în clusterul dvs. Aveți nevoie de cel puțin două gazde separate (3 recomandate) plasate în același centru de date securizat, care îndeplinesc cerințele din Cerințele Gazdei Virtuale.

                                                                                                                                                  4

                                                                                                                                                  Pregătiți serverul bazei de date care va acționa ca un magazin de date cheie pentru cluster, în conformitate cu cerințele serverului bazei de date. Serverul bazei de date trebuie să fie plasat în centrul de date securizat cu gazdele virtuale.

                                                                                                                                                  1. Creați o bază de date pentru stocarea tastelor. (Trebuie să creați această bază de date—nu utilizați baza de date implicită. Aplicațiile HDS, atunci când sunt instalate, creează schema bazei de date.)

                                                                                                                                                  2. Colectați detaliile pe care nodurile le vor utiliza pentru a comunica cu serverul bazei de date:

                                                                                                                                                    • numele gazdei sau adresa IP (gazda) și portul

                                                                                                                                                    • numele bazei de date (dbname) pentru stocarea cheilor

                                                                                                                                                    • numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură

                                                                                                                                                  5

                                                                                                                                                  Pentru recuperarea rapidă a dezastrelor, configurați un mediu de rezervă într-un alt centru de date. Mediul de rezervă reflectă mediul de producție al VMs și un server de baze de date de rezervă. De exemplu, dacă producția are 3 VMs care rulează noduri HDS, mediul de rezervă ar trebui să aibă 3 VMs.

                                                                                                                                                  6

                                                                                                                                                  Configurați o gazdă syslog pentru a colecta jurnale de la nodurile din cluster. Aduna adresa de rețea și portul syslog (implicit este UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creați o politică de rezervă securizată pentru nodurile de securitate a datelor hibride, serverul bazei de date și gazda syslog. Cel puțin, pentru a preveni pierderea de date nerecuperabile, trebuie să salvați baza de date și fișierul ISO de configurare generat pentru nodurile de securitate a datelor hibride.


                                                                                                                                                   

                                                                                                                                                  Deoarece nodurile de securitate a datelor hibride stochează cheile utilizate în criptarea și decriptarea conținutului, nemenținerea unei implementări operaționale va duce la PIERDEREA NERECUPERABILĂ a conținutului respectiv.

                                                                                                                                                  Clienții Aplicației Webex își ascund cheile, astfel încât este posibil ca o întrerupere să nu fie vizibilă imediat, dar va deveni evidentă în timp. În timp ce ieșirile temporare sunt imposibil de prevenit, acestea sunt recuperabile. Cu toate acestea, pierderea completă (fără backup-uri disponibile) a bazei de date sau a fișierului ISO de configurare va duce la date client nerecuperabile. Operatorii nodurilor de securitate a datelor hibride se așteaptă să mențină backup-uri frecvente ale bazei de date și ale fișierului ISO de configurare și să fie pregătiți să reconstruiască centrul de date de securitate a datelor hibride în cazul în care apare un eșec catastrofal.

                                                                                                                                                  8

                                                                                                                                                  Asigurați-vă că configurația firewall-ului dvs. permite conectivitatea pentru nodurile dvs. de securitate a datelor hibride, astfel cum sunt prezentate în cerințele de conectivitate externă.

                                                                                                                                                  9

                                                                                                                                                  Instalați Docker ( https://www.docker.com) pe orice mașină locală care rulează un sistem de operare acceptat (Microsoft Windows 10 Professional sau Enterprise pe 64 de biți sau Mac OSX Yosemite 10.10.3 sau mai sus) cu un browser web care îl poate accesa la http://127.0.0.1:8080.

                                                                                                                                                  Utilizați instanța Docker pentru a descărca și rula Instrumentul de configurare HDS, care construiește informațiile de configurare locale pentru toate nodurile de securitate a datelor hibride. Este posibil ca organizația dvs. să aibă nevoie de o licență Docker Desktop. Consultați Cerințele Docker Desktop pentru mai multe informații.

                                                                                                                                                  Pentru a instala și rula Instrumentul de configurare HDS, utilajul local trebuie să aibă conectivitatea descrisă în Cerințele de conectivitate externă.

                                                                                                                                                  10

                                                                                                                                                  Dacă integrați un proxy cu securitatea datelor hibride, asigurați-vă că îndeplinește Cerințele serverului proxy.

                                                                                                                                                  11

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului, creați un grup în Active Directory numit HdsTrialGroup, și adăugați utilizatori pilot. Grupul de încercare poate avea până la 250 de utilizatori. Fișierul HdsTrialGroup obiectul trebuie să fie sincronizat în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru a sincroniza un obiect de grup, selectați-l în Directory Connector Configurare > Meniu Selecție obiect. (Pentru instrucțiuni detaliate, consultați Ghidul de implementare pentru Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Tastele pentru un anumit spațiu sunt stabilite de creatorul spațiului. Atunci când selectați utilizatori pilot, rețineți că, dacă decideți să dezactivați definitiv implementarea securității datelor hibride, toți utilizatorii pierd accesul la conținut în spațiile create de utilizatorii pilot. Pierderea devine evidentă imediat ce aplicațiile utilizatorilor își reîmprospătează copiile cache ale conținutului.

                                                                                                                                                  Configurarea unui cluster de securitate a datelor hibride

                                                                                                                                                  Flux sarcină de implementare a securității datelor hibride

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Pregătiți-vă mediul

                                                                                                                                                  1

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  Descărcați fișierul OVA la utilajul local pentru utilizare ulterioară.

                                                                                                                                                  2

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Utilizați instrumentul de configurare HDS pentru a crea un fișier de configurare ISO pentru nodurile de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Creați o mașină virtuală din fișierul OVA și efectuați configurația inițială, cum ar fi setările de rețea.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  4

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Conectați-vă la consola VM și setați acreditările de conectare. Configurați setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  5

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Configurați VM din fișierul de configurare ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită configurare proxy, specificați tipul de proxy pe care îl veți utiliza pentru nod și adăugați certificatul proxy la magazinul de încredere, dacă este necesar.

                                                                                                                                                  7

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Înregistrați VM cu cloudul Cisco Webex ca nod de securitate a datelor hibrid.

                                                                                                                                                  8

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Finalizați configurarea clusterului.

                                                                                                                                                  9

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)

                                                                                                                                                  Până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Descărcați fișierele de instalare

                                                                                                                                                  În această sarcină, descărcați un fișier OVA pe mașina dvs. (nu pe serverele pe care le-ați configurat ca noduri de securitate a datelor hibride). Utilizați acest fișier mai târziu în procesul de instalare.
                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.comși apoi faceți clic pe Servicii.

                                                                                                                                                  2

                                                                                                                                                  În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride, apoi faceți clic pe Configurare.

                                                                                                                                                  Dacă cardul este dezactivat sau nu îl vedeți, contactați echipa de cont sau organizația parteneră. Dați-le numărul contului dvs. și solicitați să activați organizația dvs. pentru securitatea datelor hibride. Pentru a găsi numărul contului, faceți clic pe dispozitivul din dreapta sus, lângă numele organizației dvs.


                                                                                                                                                   

                                                                                                                                                  De asemenea, puteți descărca OVA în orice moment din secțiunea Ajutor de pe pagina Setări . Pe cardul de securitate a datelor hibride, faceți clic pe Editare setări pentru a deschide pagina. Atunci, faceți clic pe Descărcați software-ul de securitate a datelor hibride în secțiunea Ajutor .


                                                                                                                                                   

                                                                                                                                                  Versiunile mai vechi ale pachetului software (OVA) nu vor fi compatibile cu cele mai recente upgrade-uri de securitate a datelor hibride. Acest lucru poate duce la probleme în timp ce actualizarea aplicației. Asigurați-vă că descărcați cea mai recentă versiune a fișierului OVA.

                                                                                                                                                  3

                                                                                                                                                  Selectați Nu pentru a indica faptul că nu ați configurat încă nodul, apoi faceți clic pe Înainte.

                                                                                                                                                  Fișierul OVA începe automat să se descarce. Salvați fișierul într-o locație de pe utilajul dvs.
                                                                                                                                                  4

                                                                                                                                                  Opțional, faceți clic pe Deschidere Ghid de implementare pentru a verifica dacă există o versiune ulterioară a acestui ghid disponibil.

                                                                                                                                                  Creați un ISO de configurare pentru gazdele HDS

                                                                                                                                                  Procesul de configurare a securității datelor hibride creează un fișier ISO. Apoi utilizați ISO pentru a configura gazda dvs. de securitate a datelor hibride.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Instrumentul de configurare HDS rulează ca container Docker pe un computer local. Pentru a-l accesa, rulați Docker pe acel computer. Procesul de configurare necesită acreditările unui cont Control Hub cu drepturi complete de administrator pentru organizația dvs.

                                                                                                                                                    Dacă instrumentul de configurare HDS rulează în spatele unui proxy în mediul dvs., furnizați setările proxy (server, port, acreditări) prin variabilele de mediu Docker atunci când ridicați containerul Docker în pasul 5. Acest tabel oferă câteva variabile de mediu posibile:

                                                                                                                                                    Descriere

                                                                                                                                                    Variabilă

                                                                                                                                                    Proxy HTTP fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS fără autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTP cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS cu autentificare

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Fișierul de configurare ISO pe care îl generați conține cheia principală care criptează baza de date PostgreSQL sau Microsoft SQL Server. Aveți nevoie de cea mai recentă copie a acestui fișier oricând efectuați modificări de configurare, cum ar fi acestea:

                                                                                                                                                    • Informații bază de date

                                                                                                                                                    • Actualizări certificat

                                                                                                                                                    • Modificări ale politicii de autorizare

                                                                                                                                                  • Dacă intenționați să criptați conexiunile la baza de date, configurați implementarea PostgreSQL sau SQL Server pentru TLS.

                                                                                                                                                  1

                                                                                                                                                  În linia de comandă a computerului dvs., introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Acest pas curăță imaginile anterioare ale instrumentului de configurare HDS. Dacă nu există imagini anterioare, returnează o eroare pe care o puteți ignora.

                                                                                                                                                  2

                                                                                                                                                  Pentru a vă conecta la registry de imagini Docker, introduceți următoarele:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  La solicitarea parolei, introduceți acest hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Descărcați cea mai recentă imagine stabilă pentru mediul dvs.:

                                                                                                                                                  În medii obișnuite:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  În mediile FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Când extragerea se încheie, introduceți comanda corespunzătoare pentru mediul dvs.:

                                                                                                                                                  • În mediile obișnuite fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile obișnuite cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • În mediile FedRAMP fără un proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • În mediile FedRAMP cu un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Când containerul rulează, veți vedea „Serverul Express ascultând pe portul 8080”.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Instrumentul de configurare nu acceptă conectarea la localhost prin http://localhost:8080. Utilizați http://127.0.0.1:8080 pentru a vă conecta la gazda locală.

                                                                                                                                                  Utilizați un browser web pentru a merge la gazda locală, http://127.0.0.1:8080, și introduceți numele de utilizator al administratorului clientului pentru Control Hub la prompt.

                                                                                                                                                  Instrumentul utilizează această primă intrare a numelui de utilizator pentru a seta mediul adecvat pentru acel cont. Instrumentul afișează apoi apelul standard de conectare.

                                                                                                                                                  7

                                                                                                                                                  Când vi se solicită, introduceți acreditările de conectare ale administratorului clientului Control Hub, apoi faceți clic pe Conectare pentru a permite accesul la serviciile necesare pentru securitatea datelor hibride.

                                                                                                                                                  8

                                                                                                                                                  Pe pagina de prezentare generală a instrumentului de configurare, faceți clic pe Get Started.

                                                                                                                                                  9

                                                                                                                                                  Pe pagina ISO Import aveți aceste opțiuni:

                                                                                                                                                  • Nu—Dacă creați primul nod HDS, nu aveți un fișier ISO pentru încărcare.
                                                                                                                                                  • Da—Dacă ați creat deja noduri HDS, apoi selectați fișierul ISO în navigare și încărcați-l.
                                                                                                                                                  10

                                                                                                                                                  Verificați dacă certificatul dvs. X.509 îndeplinește cerințele din Cerințele de certificare X.509.

                                                                                                                                                  • Dacă nu ați mai încărcat un certificat înainte, încărcați certificatul X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. este OK, faceți clic pe Continuare.
                                                                                                                                                  • Dacă certificatul dvs. a expirat sau doriți să îl înlocuiți, selectați Nu pentru Continuare utilizând lanțul certificatului HDS și cheia privată din ISO anterior?. Încărcați un nou certificat X.509, introduceți parola și faceți clic pe Continuare.
                                                                                                                                                  11

                                                                                                                                                  Introduceți adresa bazei de date și contul HDS pentru a accesa baza de date cu tastatură:

                                                                                                                                                  1. Selectați tipul bazei de date (PostgreSQL sau Microsoft SQL Server).

                                                                                                                                                    Dacă alegeți Microsoft SQL Server, primiți un câmp tip autentificare.

                                                                                                                                                  2. (Numai serverul Microsoft SQL) Selectați tipul dvs. de autentificare:

                                                                                                                                                    • Autentificare de bază: Aveți nevoie de un nume de cont SQL Server local în câmpul Nume de utilizator .

                                                                                                                                                    • Autentificare Windows: Aveți nevoie de un cont Windows în format username@DOMAIN în câmpul Nume utilizator .

                                                                                                                                                  3. Introduceți adresa serverului bazei de date în formular <hostname>:<port> sau <IP-address>:<port>.

                                                                                                                                                    Exemplu:
                                                                                                                                                    dbhost.example.org:1433 sau 198.51.100.17:1433

                                                                                                                                                    Puteți utiliza o adresă IP pentru autentificarea de bază, dacă nodurile nu pot utiliza DNS pentru a rezolva numele gazdei.

                                                                                                                                                    Dacă utilizați autentificarea Windows, trebuie să introduceți un nume de domeniu complet calificat în format dbhost.example.org:1433

                                                                                                                                                  4. Introduceți numele bazei de date.

                                                                                                                                                  5. Introduceți numele de utilizator și parola unui utilizator cu toate privilegiile din baza de date de stocare cu tastatură.

                                                                                                                                                  12

                                                                                                                                                  Selectați un mod de conectare la baza de date TLS:

                                                                                                                                                  Mod

                                                                                                                                                  Descriere

                                                                                                                                                  Prefer TLS (opțiune prestabilită)

                                                                                                                                                  Nodurile HDS nu necesită TLS pentru a se conecta la server bază de date de date . Dacă activați TLS pe serverul bazei de date, nodurile încearcă o conexiune criptată.

                                                                                                                                                  Solicită TLS

                                                                                                                                                  Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului


                                                                                                                                                   

                                                                                                                                                  Acest mod nu se aplică bazelor de date SQL Server.

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Solicită TLS și verifică semnatarul certificatului și numele gazdei

                                                                                                                                                  • Nodurile HDS se conectează numai dacă server bază de date poate negocia TLS.

                                                                                                                                                  • După stabilirea unei conexiuni TLS, nodul compară semnatarul certificatului de pe serverul bazei de date cu autoritatea certificatului din certificatul rădăcină al bazei de date. Dacă nu se potrivesc, nodul întrerupe conexiunea.

                                                                                                                                                  • Nodurile verifică, de asemenea, dacă numele gazdei din certificatul de server corespunde numelui gazdei din câmpul Gazdă bază de date și port . Numele trebuie să corespundă exact, sau nodul întrerupe conexiunea.

                                                                                                                                                  Utilizați certificat rădăcină bază de date de sub meniul drop-down pentru a încărca certificat rădăcină pentru această opțiune.

                                                                                                                                                  Când încărcați certificatul rădăcină (dacă este necesar) și faceți clic pe Continuare, instrumentul de configurare HDS testează conexiunea TLS la serverul bazei de date. Instrumentul verifică, de asemenea, semnatarul certificatului și numele gazdei, dacă este cazul. Dacă un test eșuează, instrumentul afișează un mesaj de eroare care descrie problema. Puteți alege să ignorați eroarea și să continuați configurarea. (Din cauza diferențelor de conectivitate, nodurile HDS ar putea fi capabile să stabilească conexiunea TLS, chiar dacă utilajul Instrumentului de configurare HDS nu o poate testa cu succes.)

                                                                                                                                                  13

                                                                                                                                                  Pe pagina Jurnale de sistem, configurați serverul Syslogd:

                                                                                                                                                  1. Introduceți URL-ul serverului syslog.

                                                                                                                                                    Dacă serverul nu poate fi rezolvat prin DNS din nodurile clusterului dvs. HDS, utilizați o adresă IP în URL.

                                                                                                                                                    Exemplu:
                                                                                                                                                    udp://10.92.43.23:514 indică conectarea la gazda Syslogd 10.92.43.23 pe portul UDP 514.
                                                                                                                                                  2. Dacă configurați serverul pentru a utiliza criptarea TLS, verificați dacă este configurat serverul syslog pentru criptarea SSL?.

                                                                                                                                                    Dacă bifați această casetă de selectare, asigurați-vă că introduceți un URL TCP, cum ar fi tcp://10.92.43.23:514.

                                                                                                                                                  3. Din lista derulantă Choose syslog record termination , alegeți setarea potrivită pentru fișierul dvs. ISO: Alegerea sau linia nouă este utilizată pentru Graylog și Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Newline -- \n—Selectați această opțiune pentru Graylog și Rsyslog TCP.

                                                                                                                                                  4. Faceți clic pe Continuați.

                                                                                                                                                  14

                                                                                                                                                  (Opțional) Puteți modifica valoarea implicită a unor parametri de conexiune la baza de date în Setări avansate. În general, acest parametru este singurul pe care s-ar putea dori să-l modificați:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Faceți clic pe Continuare pe ecranul Resetare Conturi serviciu Parolă .

                                                                                                                                                  Parolele contului de serviciu au o durată de viață de nouă luni. Utilizați acest ecran atunci când parolele dvs. se apropie de expirare sau doriți să le resetați pentru a dezactiva fișierele ISO anterioare.

                                                                                                                                                  16

                                                                                                                                                  Faceți clic pe Descărcați fișierul ISO. Salvați fișierul într-o locație ușor de găsit.

                                                                                                                                                  17

                                                                                                                                                  Efectuați o copie de rezervă a fișierului ISO pe sistemul local.

                                                                                                                                                  Păstrați copia de rezervă securizată. Acest fișier conține o cheie de criptare principală pentru conținutul bazei de date. Restricționați accesul numai la administratorii de securitate a datelor hibride care ar trebui să facă modificări de configurare.

                                                                                                                                                  18

                                                                                                                                                  Pentru a închide instrumentul de configurare, tastați CTRL+C.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Backup fișierul ISO de configurare. Aveți nevoie de ea pentru a crea mai multe noduri pentru recuperare, sau pentru a face modificări de configurare. Dacă pierdeți toate copiile fișierului ISO, ați pierdut, de asemenea, cheia principală. Recuperarea tastelor din baza de date PostgreSQL sau Microsoft SQL Server nu este posibilă.


                                                                                                                                                   

                                                                                                                                                  Nu avem niciodată o copie a acestei chei și nu poate ajuta dacă îl pierzi.

                                                                                                                                                  Instalați gazda HDS OVA

                                                                                                                                                  Utilizați această procedură pentru a crea o mașină virtuală din fișierul OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizați clientul VMware vSphere de pe computer pentru a vă conecta la gazda virtuală ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selectați Fișier > Implementați șablonul OVF.

                                                                                                                                                  3

                                                                                                                                                  În expert, specificați locația fișierului OVA pe care l-ați descărcat mai devreme, apoi faceți clic pe În continuare.

                                                                                                                                                  4

                                                                                                                                                  Pe Selectați un nume și un folder pagină , introduceți o Nume mașină virtuală pentru nod (de exemplu, „HDS_Node_1”), alegeți o locație în care se poate afla implementarea nodului mașinii virtuale, apoi faceți clic pe În continuare.

                                                                                                                                                  5

                                                                                                                                                  Pe Selectați o resursă de calcul pagină , alegeți resursa de calcul destinație, apoi faceți clic pe În continuare.

                                                                                                                                                  O verificare de validare se execută. După ce se termină, apar detaliile șablonului.

                                                                                                                                                  6

                                                                                                                                                  Verificați detaliile șablonului și apoi faceți clic pe Înainte.

                                                                                                                                                  7

                                                                                                                                                  Dacă vi se solicită să alegeți configurația de resurse de pe Configurare pagină , faceți clic pe 4 CPU apoi faceți clic pe În continuare.

                                                                                                                                                  8

                                                                                                                                                  Pe Selectați spațiul de stocare pagină , faceți clic pe În continuare pentru a accepta formatul implicit al discului și politica de stocare VM.

                                                                                                                                                  9

                                                                                                                                                  Pe Selectați rețelele pagină, alege opțiunea de rețea din lista de intrări pentru a oferi conexiunea dorită la VM.

                                                                                                                                                  10

                                                                                                                                                  Pe pagina Personalizați șablonul , configurați următoarele setări ale rețelei:

                                                                                                                                                  • Nume gazdă—Introduceți FQDN (nume de gazdă și domeniu) sau un singur cuvânt nume de gazdă pentru nod.

                                                                                                                                                     
                                                                                                                                                    • Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                    • Pentru a vă asigura că vă înregistrați cu succes în cloud, utilizați numai caractere din FQDN sau numele gazdei pe care le-ați setat pentru nod. Capitalizarea nu este acceptată în acest moment.

                                                                                                                                                    • Lungimea totală a FQDN nu trebuie să depășească 64 de caractere.

                                                                                                                                                  • Adresă IP— Introduceți adresa IP pentru interfața internă a nodului.

                                                                                                                                                     

                                                                                                                                                    Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  • Mască—Introduceți adresa măștii subnet în notația punct-zecimală. De exemplu, 255.255.255.0.
                                                                                                                                                  • Gateway—Introduceți adresa IP a gateway-ului. Un gateway este un nod de rețea care servește ca punct de acces la o altă rețea.
                                                                                                                                                  • Servere DNS—Introduceți o listă de servere DNS separate prin virgulă, care se ocupă cu traducerea numelor de domenii către adrese IP numerice. (Sunt permise până la 4 intrări DNS.)
                                                                                                                                                  • Servere NTP—Introduceți serverul NTP al organizației dvs. sau un alt server NTP extern care poate fi utilizat în organizația dvs. Serverele NTP implicite nu pot funcționa pentru toate întreprinderile. De asemenea, puteți utiliza o listă separată prin virgulă pentru a introduce mai multe servere NTP.
                                                                                                                                                  • Implementați toate nodurile din aceeași subrețea sau VLAN, astfel încât toate nodurile dintr-un cluster să poată fi accesate de clienții din rețeaua dvs. în scopuri administrative.

                                                                                                                                                  Dacă preferați, puteți sări peste configurația de setare a rețelei și puteți urma pașii din Configurați VM-ul de securitate a datelor hibride pentru a configura setările din consola nodului.


                                                                                                                                                   

                                                                                                                                                  Opțiunea de configurare a setărilor de rețea în timpul implementării OVA a fost testată cu ESXi 6.5. Este posibil ca opțiunea să nu fie disponibilă în versiunile anterioare.

                                                                                                                                                  11

                                                                                                                                                  Faceți clic dreapta pe nodul VM, apoi alegeți Alimentare > Pornire.

                                                                                                                                                  Software-ul de securitate a datelor hibride este instalat ca invitat pe Gazda VM. Acum sunteți gata să vă conectați la consolă și să configurați nodul.

                                                                                                                                                  Sfaturi pentru depanare

                                                                                                                                                  Este posibil să aveți o întârziere de câteva minute înainte de apariția containerelor de nod. Un mesaj de firewall de legătură apare pe consolă în timpul primei boot-ări, în timpul căreia nu vă puteți conecta.

                                                                                                                                                  Configurați VM-ul de securitate a datelor hibride

                                                                                                                                                  Utilizați această procedură pentru a vă conecta pentru prima dată la consola VM a nodului de securitate a datelor hibride și pentru a seta acreditările de conectare. De asemenea, puteți utiliza consola pentru a configura setările de rețea pentru nod dacă nu le-ați configurat la momentul implementării OVA.

                                                                                                                                                  1

                                                                                                                                                  În clientul VMware vSphere, selectați nodul de securitate a datelor hibride VM și selectați fila Console .

                                                                                                                                                  VM pornește în sus și apare un prompt de conectare. Dacă mesajul de conectare nu se afișează, apăsați Enter.
                                                                                                                                                  2

                                                                                                                                                  Utilizați următoarea conectare implicită și parola pentru a vă conecta și a modifica datele de autentificare:

                                                                                                                                                  1. Conectare: admin

                                                                                                                                                  2. Parolă: cisco

                                                                                                                                                  Deoarece vă conectați pentru prima dată la VM, trebuie să schimbați parola de administrator.

                                                                                                                                                  3

                                                                                                                                                  Dacă ați configurat deja setările de rețea în Instalați gazda HDS OVA, omiteți restul acestei proceduri. În caz contrar, în meniul principal, selectați opțiunea Editare configurație .

                                                                                                                                                  4

                                                                                                                                                  Configurați o configurație statică cu adresă IP, Mască, Gateway și informații DNS. Nodul dvs. trebuie să aibă o adresă IP internă și un nume DNS. DHCP nu este acceptat.

                                                                                                                                                  5

                                                                                                                                                  (Opțional) Modificați numele gazdei, domeniul sau serverul (serverele) NTP, dacă este necesar pentru a se potrivi cu politica de rețea.

                                                                                                                                                  Nu este necesar să setați domeniul pentru a se potrivi domeniului pe care l-ați utilizat pentru a obține certificatul X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvați configurația de rețea și reporniți VM, astfel încât modificările să aibă efect.

                                                                                                                                                  Încărcați și montați ISO de configurare HDS

                                                                                                                                                  Utilizați această procedură pentru a configura mașina virtuală din fișierul ISO pe care l-ați creat cu instrumentul de configurare HDS.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Deoarece fișierul ISO deține cheia principală, acesta ar trebui să fie expus numai pe o bază „trebuie să știe”, pentru a fi accesat de către VM-urile de securitate a datelor hibride și de orice administratori care ar putea avea nevoie să facă modificări. Asigurați-vă că numai acei administratori pot accesa stația de date.

                                                                                                                                                  1

                                                                                                                                                  Încărcați fișierul ISO de pe computer:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, faceţi clic pe serverul ESXi.

                                                                                                                                                  2. În lista Hardware a filei de configurare, faceți clic pe Storage (Depozitare).

                                                                                                                                                  3. În lista Datastores, faceți clic dreapta pe bara de date pentru VMs și faceți clic pe Browse Datastore.

                                                                                                                                                  4. Faceți clic pe pictograma Încărcare fișiere, apoi faceți clic pe Încărcare fișier.

                                                                                                                                                  5. Navigați la locația în care ați descărcat fișierul ISO pe computer și faceți clic pe Deschidere.

                                                                                                                                                  6. Faceți clic pe Da pentru a accepta avertismentul operațiunii de încărcare/descărcare și închideți dialogul cu stația de date.

                                                                                                                                                  2

                                                                                                                                                  Montați fișierul ISO:

                                                                                                                                                  1. În panoul de navigare din stânga al clientului VMware vSphere, da clic dreapta pe VM și faceți clic Editați setările .

                                                                                                                                                  2. Faceți clic pe OK pentru a accepta avertismentul privind opțiunile de editare restricționate.

                                                                                                                                                  3. Clic CD/DVD Drive 1, selectați opțiunea de montare dintr-un fișier ISO datastore și navigați la locația în care ați încărcat fișierul ISO de configurare.

                                                                                                                                                  4. Verificați Conectat și Conectat la putere.

                                                                                                                                                  5. Salvați modificările și reporniți mașina virtuală.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Dacă politica dvs. IT necesită, puteți dezinstala opțional fișierul ISO după ce toate nodurile dvs. preiau modificările de configurare. Consultați (Opțional) Dezasamblarea ISO după configurarea HDS pentru detalii.

                                                                                                                                                  Configurați nodul HDS pentru integrarea proxy

                                                                                                                                                  Dacă mediul de rețea necesită un proxy, utilizați această procedură pentru a specifica tipul de proxy pe care doriți să îl integrați cu securitatea datelor hibride. Dacă alegeți un proxy de inspecție transparent sau un proxy explicit HTTPS, puteți utiliza interfața nodului pentru a încărca și instala certificatul rădăcină. De asemenea, puteți verifica conexiunea proxy din interfață și puteți rezolva orice probleme potențiale.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  1

                                                                                                                                                  Introduceți URL-ul de configurare a nodului HDS https://[HDS Node IP or FQDN]/setup într-un browser web, introduceți acreditările de administrator pe care le-ați configurat pentru nod, apoi faceți clic pe Conectare.

                                                                                                                                                  2

                                                                                                                                                  Accesați Trust Store & Proxy, apoi alegeți o opțiune:

                                                                                                                                                  • Nu există proxy—Opțiunea implicită înainte de a integra un proxy. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Proxy transparent fără inspecție- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy și nu ar trebui să necesite nicio modificare pentru a lucra cu un proxy fără inspecție. Nu este necesară nicio actualizare a certificatului.
                                                                                                                                                  • Inspecție transparentă proxy- Nodurile nu sunt configurate pentru a utiliza o anumită adresă de server proxy. Nu sunt necesare modificări ale configurației HTTPS la implementarea securității datelor hibride, cu toate acestea, nodurile HDS au nevoie de un certificat rădăcină pentru a avea încredere în proxy. De obicei, proxy-urile de inspecție sunt utilizate de IT pentru a pune în aplicare politicile pe care site-urile pot fi vizitate și ce tipuri de conținut nu sunt permise. Acest tip de proxy decriptează tot traficul (chiar și HTTPS).
                                                                                                                                                  • Proxy explicit—Cu proxy explicit, spuneți clientului (noduri HDS) ce server proxy să utilizeze, iar această opțiune acceptă mai multe tipuri de autentificare. După ce alegeți această opțiune, trebuie să introduceți următoarele informații:
                                                                                                                                                    1. IP proxy/FQDN—Adresă care poate fi utilizată pentru a ajunge la utilajul proxy.

                                                                                                                                                    2. Portul proxy—Un număr de port pe care proxy-ul îl folosește pentru a asculta traficul proxy.

                                                                                                                                                    3. Proxy Protocol—Alegeți http (vizualizează și controlează toate solicitările primite de la client) sau https (oferă un canal serverului, iar clientul primește și validează certificatul serverului). Alegeți o opțiune pe baza a ceea ce acceptă serverul proxy.

                                                                                                                                                    4. Tip autentificare—Alegeți dintre următoarele tipuri de autentificare:

                                                                                                                                                      • Niciuna – Nu este necesară autentificarea suplimentară.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                      • De bază—Utilizat pentru un agent de utilizator HTTP pentru a furniza un nume de utilizator și o parolă atunci când efectuați o solicitare. Utilizează codificarea Base64.

                                                                                                                                                        Disponibil pentru proxy-uri HTTP sau HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                      • Digest—Utilizat pentru a confirma contul înainte de a trimite informații sensibile. Aplică o funcție hash pe numele de utilizator și parola înainte de a trimite în rețea.

                                                                                                                                                        Disponibil numai pentru proxy-uri HTTPS.

                                                                                                                                                        Dacă alegeți această opțiune, trebuie să introduceți și numele de utilizator și parola.

                                                                                                                                                  Urmați pașii următori pentru un proxy de inspecție transparent, un proxy explicit HTTP cu autentificare de bază sau un proxy explicit HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Faceți clic pe Încărcați un certificat rădăcină sau un certificat de entitate finalizată, apoi navigați la o alegere a certificatului rădăcină pentru proxy.

                                                                                                                                                  Certificatul este încărcat, dar nu este încă instalat, deoarece trebuie să reporniți nodul pentru a instala certificatul. Faceți clic pe săgeata chevron după numele emitentului certificatului pentru a obține mai multe detalii sau faceți clic pe Ștergere dacă ați făcut o greșeală și doriți să reîncărcați fișierul.

                                                                                                                                                  4

                                                                                                                                                  Faceți clic pe Verificare conexiune proxy pentru a testa conectivitatea la rețea între nod și proxy.

                                                                                                                                                  Dacă testul conexiunii eșuează, veți vedea un mesaj de eroare care arată motivul și modul în care puteți corecta problema.

                                                                                                                                                  Dacă vedeți un mesaj care spune că rezoluția DNS externă nu a reușit, nodul nu a putut ajunge la serverul DNS. Această condiție este de așteptat în multe configurații proxy explicite. Puteți continua cu configurarea, iar nodul va funcționa în modul de Rezoluție DNS Externă Blocată. Dacă credeți că aceasta este o eroare, completați acești pași și apoi consultați Dezactivarea modului de rezoluție DNS extern blocat.

                                                                                                                                                  5

                                                                                                                                                  După ce testul conexiunii trece, pentru proxy explicit setat numai la https, activați comutatorul pentru a Ruta toate solicitările de port 443/444 https din acest nod prin proxy explicit. Această setare necesită 15 secunde pentru a intra în vigoare.

                                                                                                                                                  6

                                                                                                                                                  Faceți clic pe Instalare toate certificatele în magazinul de încredere (apare pentru un proxy explicit HTTPS sau un proxy de inspecție transparent) sau Reporniți (apare pentru un proxy explicit HTTP), citiți mesajul și apoi faceți clic pe Instalare dacă sunteți pregătit.

                                                                                                                                                  Nodul repornește în câteva minute.

                                                                                                                                                  7

                                                                                                                                                  După repornirea nodului, conectați-vă din nou dacă este necesar, apoi deschideți pagina Prezentare generală pentru a verifica verificările de conectivitate pentru a vă asigura că toate sunt în stare verde.

                                                                                                                                                  Verificarea conexiunii proxy testează numai un subdomeniu al webex.com. Dacă există probleme de conectivitate, o problemă comună este că unele dintre domeniile cloud enumerate în instrucțiunile de instalare sunt blocate la proxy.

                                                                                                                                                  Înregistrați primul nod în cluster

                                                                                                                                                  Această sarcină preia nodul generic pe care l-ați creat în Configurarea VM-ului de securitate a datelor hibride, înregistrează nodul cu cloudul Webex și îl transformă într-un nod de securitate a datelor hibride.

                                                                                                                                                  Când vă înregistrați primul nod, creați un cluster căruia i se atribuie nodul. Un cluster conține unul sau mai multe noduri implementate pentru a oferi redundanță.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Conectați-vă la https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Din meniul din partea stângă a ecranului, selectați Servicii.

                                                                                                                                                  3

                                                                                                                                                  În secțiunea Servicii hibride, găsiți Securitatea datelor hibride și faceți clic pe Configurare.

                                                                                                                                                  Apare pagina Nod de securitate a datelor hibride de înregistrare.
                                                                                                                                                  4

                                                                                                                                                  Selectați Da pentru a indica faptul că ați configurat nodul și sunteți gata să îl înregistrați, apoi faceți clic pe Înainte.

                                                                                                                                                  5

                                                                                                                                                  În primul câmp, introduceți un nume pentru clusterul la care doriți să alocați nodul dvs. de securitate a datelor hibride.

                                                                                                                                                  Vă recomandăm să denumiți un cluster bazat pe locul în care nodurile clusterului sunt localizate geografic. Exemple: "San Francisco" sau "New York" sau "Dallas"

                                                                                                                                                  6

                                                                                                                                                  În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                  Această adresă IP sau FQDN trebuie să corespundă adresei IP sau numelui gazdei și domeniului pe care l-ați utilizat în Configurarea VM-ului de securitate a datelor hibride.

                                                                                                                                                  Apare un mesaj care indică faptul că vă puteți înregistra nodul la Webex.
                                                                                                                                                  7

                                                                                                                                                  Faceți clic pe Du-te la Nod.

                                                                                                                                                  8

                                                                                                                                                  Faceți clic pe Continuare în mesajul de avertizare.

                                                                                                                                                  După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. Webex pentru a accesa nodul dvs.
                                                                                                                                                  9

                                                                                                                                                  Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                  Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  10

                                                                                                                                                  Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Pe pagina Securitate datelor hibride, este afișat noul cluster care conține nodul pe care l-ați înregistrat. Nodul va descărca automat cel mai recent software din cloud.

                                                                                                                                                  Creați și înregistrați mai multe noduri

                                                                                                                                                  Pentru a adăuga noduri suplimentare în cluster, creați pur și simplu VMs suplimentare și montați același fișier ISO de configurare, apoi înregistrați nodul. Vă recomandăm să aveți cel puțin 3 noduri.

                                                                                                                                                   

                                                                                                                                                  În acest moment, VMs de rezervă pe care le-ați creat în Completați Condițiile prealabile pentru securitatea datelor hibride sunt gazde standby care sunt utilizate numai în caz de recuperare a dezastrelor; acestea nu sunt înregistrate la sistem până atunci. Pentru detalii, consultați Recuperarea dezastrelor utilizând Centrul de date standby.

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  • Odată ce începeți înregistrarea unui nod, trebuie să îl finalizați în 60 de minute sau trebuie să începeți.

                                                                                                                                                  • Asigurați-vă că orice blocare pop-up din browser-ul dvs. este dezactivată sau că permiteți o excepție pentru admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creați o nouă mașină virtuală din OVA, repetând pașii din Instalați gazda HDS OVA.

                                                                                                                                                  2

                                                                                                                                                  Configurați configurația inițială pe noul VM, repetând pașii din Configurați VM-ul de securitate a datelor hibride.

                                                                                                                                                  3

                                                                                                                                                  Pe noul VM, repetați pașii din Încărcați și montați ISO de configurare HDS.

                                                                                                                                                  4

                                                                                                                                                  Dacă configurați un proxy pentru implementarea dvs., repetați pașii din Configurați nodul HDS pentru Integrare proxy după cum este necesar pentru noul nod.

                                                                                                                                                  5

                                                                                                                                                  Înregistrați nodul.

                                                                                                                                                  1. În https://admin.webex.com, selectați Servicii din meniul din partea stângă a ecranului.

                                                                                                                                                  2. În secțiunea Servicii hibride, găsiți cardul de securitate a datelor hibride și faceți clic pe Resurse.

                                                                                                                                                    Apare pagina Resurse de securitate a datelor hibride.
                                                                                                                                                  3. Faceți clic pe Adăugare resursă.

                                                                                                                                                  4. În primul câmp, selectați numele clusterului existent.

                                                                                                                                                  5. În al doilea câmp, introduceți adresa IP internă sau numele de domeniu complet calificat (FQDN) al nodului dvs. și faceți clic pe Înainte.

                                                                                                                                                    Apare un mesaj care indică faptul că vă puteți înregistra nodul în cloudul Webex.
                                                                                                                                                  6. Faceți clic pe Du-te la Nod.

                                                                                                                                                    După câteva momente, sunteți redirecționat către testele de conectivitate la noduri pentru serviciile Webex. Dacă toate testele au succes, apare pagina Permiteți accesul la nodul de securitate a datelor hibride. Acolo, confirmați că doriți să acordați permisiuni organizației dvs. pentru a accesa nodul dvs.
                                                                                                                                                  7. Bifați caseta de selectare Permite accesul la nodul dvs. de securitate a datelor hibride , apoi faceți clic pe Continuare.

                                                                                                                                                    Contul dvs. este validat, iar mesajul „Înscriere completă” indică faptul că nodul dvs. este acum înregistrat în cloudul Webex.
                                                                                                                                                  8. Faceți clic pe link-ul sau închideți fila pentru a reveni la pagina de securitate a datelor hibride Control Hub.

                                                                                                                                                  Nodul dvs. este înregistrat. Rețineți că până când începeți o încercare, nodurile dvs. generează o alarmă care indică faptul că serviciul dvs. nu este încă activat.

                                                                                                                                                  Ce este de făcut în continuare

                                                                                                                                                  Efectuați un proces și mutați-vă la producție (capitolul următor)
                                                                                                                                                  Efectuați un proces și mutați-vă la producție

                                                                                                                                                  Încercare la fluxul sarcinilor de producție

                                                                                                                                                  După ce ați configurat un cluster de securitate a datelor hibride, puteți iniția un pilot, puteți adăuga utilizatori la acesta și puteți începe să îl utilizați pentru testarea și verificarea implementării dvs. în vederea trecerii la producție.

                                                                                                                                                  1

                                                                                                                                                  Dacă este cazul, sincronizați HdsTrialGroup obiect de grup.

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea începe o încercare. Pentru instrucțiuni, consultați Ghidul de implementare pentru Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Activați procesul

                                                                                                                                                  Începeți o încercare. Până când nu efectuați această sarcină, nodurile dvs. generează o alarmă care indică faptul că serviciul nu este încă activat.

                                                                                                                                                  3

                                                                                                                                                  Testați implementarea securității datelor hibride

                                                                                                                                                  Verificați dacă solicitările cheie trec la implementarea securității datelor hibride.

                                                                                                                                                  4

                                                                                                                                                  Monitorizarea sănătății securității datelor hibride

                                                                                                                                                  Verificați starea și configurați notificările prin e-mail pentru alarme.

                                                                                                                                                  5

                                                                                                                                                  Adăugați sau eliminați utilizatori din procesul dvs.

                                                                                                                                                  6

                                                                                                                                                  Finalizați faza de probă cu una dintre următoarele acțiuni:

                                                                                                                                                  Activați procesul

                                                                                                                                                  Înainte de a începe

                                                                                                                                                  Dacă organizația dvs. utilizează sincronizarea directorului pentru utilizatori, trebuie să selectați HdsTrialGroup obiectul de grup pentru sincronizare în cloud înainte de a putea iniția o încercare pentru organizația dvs. Pentru instrucțiuni, consultați