Možno ste si všimli, že niektoré články zobrazujú obsah nekonzistentne. Ospravedlňte drobný neporiadok, práve pracujeme na aktualizácii stránky.
cross icon
V tomto článku
dropdown icon
Predslov
    Nové a zmenené informácie
    dropdown icon
    Začnite s hybridným zabezpečením dát
      Prehľad zabezpečenia hybridných údajov
        dropdown icon
        Architektúra bezpečnostnej sféry
          Realms of Separation (bez Hybrid Data Security)
        Spolupráca s inými organizáciami
          Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov
            Proces nastavenia na vysokej úrovni
              dropdown icon
              Hybridný model nasadenia zabezpečenia dát
                Hybridný model nasadenia zabezpečenia dát
              Skúšobný režim hybridnej bezpečnosti dát
                dropdown icon
                Pohotovostné dátové centrum pre obnovu po havárii
                  Nastavte pohotovostné dátové centrum pre obnovu po havárii
                Podpora proxy
                dropdown icon
                Pripravte si prostredie
                  dropdown icon
                  Požiadavky na hybridnú bezpečnosť dát
                    Požiadavky na licenciu Cisco Webex
                    Požiadavky na plochu Docker
                    Požiadavky na certifikát X.509
                    Požiadavky na virtuálny hostiteľ
                    Požiadavky na databázový server
                    Požiadavky na externé pripojenie
                    Požiadavky na proxy server
                  Vyplňte Predpoklady pre hybridnú bezpečnosť údajov
                  dropdown icon
                  Nastavte Hybrid Data Security Cluster
                    Tok úloh nasadenia zabezpečenia hybridných údajov
                      Stiahnite si inštalačné súbory
                        Vytvorte ISO konfigurácie pre hostiteľov HDS
                          Nainštalujte HDS Host OVA
                            Nastavte virtuálny počítač Hybrid Data Security
                              Nahrajte a pripojte ISO konfiguráciu HDS
                                Nakonfigurujte uzol HDS na integráciu proxy
                                  Zaregistrujte prvý uzol v klastri
                                    Vytvorte a zaregistrujte viac uzlov
                                    dropdown icon
                                    Spustite skúšobnú verziu a prejdite do výroby
                                      Skúšobný postup produkčných úloh
                                        Aktivovať skúšobnú verziu
                                          Otestujte svoje nasadenie hybridného zabezpečenia dát
                                            Monitorujte zdravie Hybrid Data Security Health
                                              Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie
                                                Presuňte sa zo skúšobnej do produkcie
                                                  Ukončite skúšobnú verziu bez presunu do výroby
                                                  dropdown icon
                                                  Spravujte svoje nasadenie HDS
                                                    Spravujte nasadenie HDS
                                                      Nastavte plán aktualizácie klastra
                                                        Zmeňte konfiguráciu uzla
                                                          Vypnite režim zablokovaného externého rozlíšenia DNS
                                                            Odstráňte uzol
                                                              Obnova po havárii pomocou pohotovostného dátového centra
                                                                (Voliteľné) Odpojte ISO po konfigurácii HDS
                                                                dropdown icon
                                                                Riešenie problémov so zabezpečením hybridných údajov
                                                                  Zobraziť upozornenia a riešenie problémov
                                                                    dropdown icon
                                                                    Upozornenia
                                                                      Bežné problémy a kroky na ich vyriešenie
                                                                    Riešenie problémov so zabezpečením hybridných údajov
                                                                    dropdown icon
                                                                    Ďalšie poznámky
                                                                      Známe problémy s hybridnou bezpečnosťou dát
                                                                        Na vygenerovanie súboru PKCS12 použite OpenSSL
                                                                          Prevádzka medzi uzlami HDS a cloudom
                                                                            dropdown icon
                                                                            Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát
                                                                              Websocket sa nemôže pripojiť cez Squid Proxy
                                                                          V tomto článku
                                                                          cross icon
                                                                          dropdown icon
                                                                          Predslov
                                                                            Nové a zmenené informácie
                                                                            dropdown icon
                                                                            Začnite s hybridným zabezpečením dát
                                                                              Prehľad zabezpečenia hybridných údajov
                                                                                dropdown icon
                                                                                Architektúra bezpečnostnej sféry
                                                                                  Realms of Separation (bez Hybrid Data Security)
                                                                                Spolupráca s inými organizáciami
                                                                                  Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov
                                                                                    Proces nastavenia na vysokej úrovni
                                                                                      dropdown icon
                                                                                      Hybridný model nasadenia zabezpečenia dát
                                                                                        Hybridný model nasadenia zabezpečenia dát
                                                                                      Skúšobný režim hybridnej bezpečnosti dát
                                                                                        dropdown icon
                                                                                        Pohotovostné dátové centrum pre obnovu po havárii
                                                                                          Nastavte pohotovostné dátové centrum pre obnovu po havárii
                                                                                        Podpora proxy
                                                                                        dropdown icon
                                                                                        Pripravte si prostredie
                                                                                          dropdown icon
                                                                                          Požiadavky na hybridnú bezpečnosť dát
                                                                                            Požiadavky na licenciu Cisco Webex
                                                                                            Požiadavky na plochu Docker
                                                                                            Požiadavky na certifikát X.509
                                                                                            Požiadavky na virtuálny hostiteľ
                                                                                            Požiadavky na databázový server
                                                                                            Požiadavky na externé pripojenie
                                                                                            Požiadavky na proxy server
                                                                                          Vyplňte Predpoklady pre hybridnú bezpečnosť údajov
                                                                                          dropdown icon
                                                                                          Nastavte Hybrid Data Security Cluster
                                                                                            Tok úloh nasadenia zabezpečenia hybridných údajov
                                                                                              Stiahnite si inštalačné súbory
                                                                                                Vytvorte ISO konfigurácie pre hostiteľov HDS
                                                                                                  Nainštalujte HDS Host OVA
                                                                                                    Nastavte virtuálny počítač Hybrid Data Security
                                                                                                      Nahrajte a pripojte ISO konfiguráciu HDS
                                                                                                        Nakonfigurujte uzol HDS na integráciu proxy
                                                                                                          Zaregistrujte prvý uzol v klastri
                                                                                                            Vytvorte a zaregistrujte viac uzlov
                                                                                                            dropdown icon
                                                                                                            Spustite skúšobnú verziu a prejdite do výroby
                                                                                                              Skúšobný postup produkčných úloh
                                                                                                                Aktivovať skúšobnú verziu
                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát
                                                                                                                    Monitorujte zdravie Hybrid Data Security Health
                                                                                                                      Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie
                                                                                                                        Presuňte sa zo skúšobnej do produkcie
                                                                                                                          Ukončite skúšobnú verziu bez presunu do výroby
                                                                                                                          dropdown icon
                                                                                                                          Spravujte svoje nasadenie HDS
                                                                                                                            Spravujte nasadenie HDS
                                                                                                                              Nastavte plán aktualizácie klastra
                                                                                                                                Zmeňte konfiguráciu uzla
                                                                                                                                  Vypnite režim zablokovaného externého rozlíšenia DNS
                                                                                                                                    Odstráňte uzol
                                                                                                                                      Obnova po havárii pomocou pohotovostného dátového centra
                                                                                                                                        (Voliteľné) Odpojte ISO po konfigurácii HDS
                                                                                                                                        dropdown icon
                                                                                                                                        Riešenie problémov so zabezpečením hybridných údajov
                                                                                                                                          Zobraziť upozornenia a riešenie problémov
                                                                                                                                            dropdown icon
                                                                                                                                            Upozornenia
                                                                                                                                              Bežné problémy a kroky na ich vyriešenie
                                                                                                                                            Riešenie problémov so zabezpečením hybridných údajov
                                                                                                                                            dropdown icon
                                                                                                                                            Ďalšie poznámky
                                                                                                                                              Známe problémy s hybridnou bezpečnosťou dát
                                                                                                                                                Na vygenerovanie súboru PKCS12 použite OpenSSL
                                                                                                                                                  Prevádzka medzi uzlami HDS a cloudom
                                                                                                                                                    dropdown icon
                                                                                                                                                    Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát
                                                                                                                                                      Websocket sa nemôže pripojiť cez Squid Proxy
                                                                                                                                                  Sprievodca nasadením pre Webex Hybrid Data Security
                                                                                                                                                  list-menuV tomto článku
                                                                                                                                                  Predslov

                                                                                                                                                  Nové a zmenené informácie

                                                                                                                                                  Dátum

                                                                                                                                                  Vykonané zmeny

                                                                                                                                                  20. októbra 2023

                                                                                                                                                  7. augusta 2023

                                                                                                                                                  23. mája 2023

                                                                                                                                                  6. decembra 2022

                                                                                                                                                  23. novembra 2022

                                                                                                                                                  13. októbra 2021

                                                                                                                                                  Pred inštaláciou uzlov HDS musí Docker Desktop spustiť inštalačný program. Pozri Požiadavky na plochu Docker.

                                                                                                                                                  24. júna 2021

                                                                                                                                                  Upozorňujeme, že súbor so súkromným kľúčom a CSR môžete znova použiť na vyžiadanie ďalšieho certifikátu. Pozri Na vygenerovanie súboru PKCS12 použite OpenSSL pre podrobnosti.

                                                                                                                                                  30. apríla 2021

                                                                                                                                                  Požiadavka VM na lokálny pevný disk sa zmenila na 30 GB. Pozri Požiadavky na virtuálny hostiteľ pre podrobnosti.

                                                                                                                                                  24. februára 2021

                                                                                                                                                  HDS Setup Tool teraz môže bežať za serverom proxy. Pozri Vytvorte ISO konfigurácie pre hostiteľov HDS pre podrobnosti.

                                                                                                                                                  2. februára 2021

                                                                                                                                                  HDS teraz môže bežať bez pripojeného súboru ISO. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  11. januára 2021

                                                                                                                                                  Pridané informácie o nástroji HDS Setup a proxy serveroch Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  13. októbra 2020

                                                                                                                                                  Aktualizované Stiahnite si inštalačné súbory.

                                                                                                                                                  8. októbra 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla s príkazmi pre prostredia FedRAMP.

                                                                                                                                                  14. augusta 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla so zmenami v procese prihlasovania.

                                                                                                                                                  5. augusta 2020

                                                                                                                                                  Aktualizované Otestujte svoje nasadenie hybridného zabezpečenia dát pre zmeny v protokolových správach.

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ na odstránenie maximálneho počtu hostiteľov.

                                                                                                                                                  16. júna 2020

                                                                                                                                                  Aktualizované Odstráňte uzol pre zmeny v používateľskom rozhraní Control Hub.

                                                                                                                                                  4. júna 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS pre zmeny v rozšírených nastaveniach, ktoré môžete nastaviť.

                                                                                                                                                  29. mája 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS ukázať, že TLS môžete použiť aj s databázami SQL Server, zmenami používateľského rozhrania a ďalšími vysvetleniami.

                                                                                                                                                  5. mája 2020

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ ukázať novú požiadavku ESXi 6.5.

                                                                                                                                                  21. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s novými hostiteľmi Americas CI.

                                                                                                                                                  1. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s informáciami o regionálnych hostiteľoch CI.

                                                                                                                                                  20. februára 2020Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s informáciami o novej voliteľnej obrazovke rozšírených nastavení v nástroji HDS Setup Tool.
                                                                                                                                                  4. februára 2020Aktualizované Požiadavky na proxy server.
                                                                                                                                                  16. decembra 2019Objasnená požiadavka, aby fungoval režim zablokovaného externého rozlíšenia DNS Požiadavky na proxy server.
                                                                                                                                                  19. novembra 2019

                                                                                                                                                  Pridané informácie o režime zablokovaného externého rozlíšenia DNS v nasledujúcich častiach:

                                                                                                                                                  8. novembra 2019

                                                                                                                                                  Teraz môžete konfigurovať sieťové nastavenia pre uzol počas nasadzovania OVA a nie neskôr.

                                                                                                                                                  Podľa toho aktualizovali nasledujúce sekcie:


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  6. septembra 2019

                                                                                                                                                  Pridaný SQL Server Standard do Požiadavky na databázový server.

                                                                                                                                                  29. augusta 2019Pridané Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát príloha s návodom na konfiguráciu proxy serverov Squid tak, aby ignorovali prevádzku websocket pre správnu činnosť.
                                                                                                                                                  20. augusta 2019

                                                                                                                                                  Pridané a aktualizované sekcie pokrývajúce podporu proxy pre komunikáciu uzlov Hybrid Data Security do cloudu Webex.

                                                                                                                                                  Ak chcete získať prístup len k obsahu podpory proxy pre existujúce nasadenie, pozrite si Podpora proxy pre hybridné zabezpečenie dát a Webex Video Mesh pomocný článok.

                                                                                                                                                  13. júna 2019Aktualizované Skúšobný postup produkčných úloh s pripomienkou na synchronizáciu HdsTrialGroup skupinový objekt pred spustením skúšobnej verzie, ak vaša organizácia používa synchronizáciu adresárov.
                                                                                                                                                  6. marca 2019
                                                                                                                                                  28. februára 2019
                                                                                                                                                  • Opravené množstvo miesta na lokálnom pevnom disku na server, ktoré by ste si mali vyčleniť pri príprave virtuálnych hostiteľov, ktorí sa stanú uzlami Hybrid Data Security, z 50 GB na 20 GB, aby odrážali veľkosť disku, ktorý vytvára OVA.

                                                                                                                                                  26. februára 2019
                                                                                                                                                  • Uzly Hybrid Data Security teraz podporujú šifrované pripojenia s databázovými servermi PostgreSQL a šifrované protokolované pripojenia k serveru syslog s podporou TLS. Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s návodom.

                                                                                                                                                  • Odstránili sa cieľové adresy URL z tabuľky „Požiadavky na internetové pripojenie pre virtuálne počítače s uzlom na zabezpečenie hybridných údajov“. Tabuľka teraz odkazuje na zoznam udržiavaný v tabuľke „Ďalšie adresy URL pre hybridné služby Webex Teams“ Sieťové požiadavky pre Webex Teams Services.

                                                                                                                                                  24. januára 2019

                                                                                                                                                  • Hybrid Data Security teraz podporuje Microsoft SQL Server ako databázu. SQL Server Always On (Always On Failover Clusters a Always On Availability Groups) je podporovaný ovládačmi JDBC, ktoré sa používajú v Hybrid Data Security. Pridaný obsah súvisiaci s nasadením so serverom SQL Server.


                                                                                                                                                     

                                                                                                                                                    Podpora Microsoft SQL Server je určená len pre nové nasadenia Hybrid Data Security. Momentálne nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server v existujúcom nasadení.

                                                                                                                                                  5. novembra 2018
                                                                                                                                                  19. októbra 2018

                                                                                                                                                  31. júla 2018

                                                                                                                                                  21. mája 2018

                                                                                                                                                  Zmenená terminológia, aby odrážala rebranding Cisco Spark:

                                                                                                                                                  • Cisco Spark Hybrid Data Security je teraz Hybrid Data Security.

                                                                                                                                                  • Aplikácia Cisco Spark je teraz aplikáciou Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud je teraz cloud Webex.

                                                                                                                                                  11. apríla 2018
                                                                                                                                                  22. februára 2018
                                                                                                                                                  15. február 2018
                                                                                                                                                  • V Požiadavky na certifikát X.509 Tabuľka špecifikovala, že certifikát nemôže byť zástupný certifikát a že KMS používa doménu CN, nie akúkoľvek doménu, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  18. januára 2018

                                                                                                                                                  2. novembra 2017

                                                                                                                                                  • Vyjasnená synchronizácia adresárov skupiny HdsTrialGroup.

                                                                                                                                                  • Opravené pokyny na nahrávanie konfiguračného súboru ISO na pripojenie do uzlov VM.

                                                                                                                                                  18. augusta 2017

                                                                                                                                                  Prvýkrát zverejnené

                                                                                                                                                  Začnite s hybridným zabezpečením dát

                                                                                                                                                  Prehľad zabezpečenia hybridných údajov

                                                                                                                                                  Od prvého dňa bola bezpečnosť údajov prvoradá pri navrhovaní Aplikácia Webex. Základným kameňom tohto zabezpečenia je komplexné šifrovanie obsahu, ktoré umožňuje Aplikácia Webex klientov interagujúcich so službou správy kľúčov (KMS). KMS je zodpovedný za vytváranie a správu kryptografických kľúčov, ktoré klienti používajú na dynamické šifrovanie a dešifrovanie správ a súborov.

                                                                                                                                                  Štandardne všetky Aplikácia Webex zákazníci získajú end-to-end šifrovanie s dynamickými kľúčmi uloženými v cloudovom KMS v oblasti bezpečnosti Cisco. Hybrid Data Security presúva KMS a ďalšie funkcie súvisiace so zabezpečením do vášho podnikového dátového centra, takže kľúče k vášmu šifrovanému obsahu nemá nikto okrem vás.

                                                                                                                                                  Architektúra bezpečnostnej sféry

                                                                                                                                                  Cloudová architektúra Webex oddeľuje rôzne typy služieb do samostatných oblastí alebo dôveryhodných domén, ako je znázornené nižšie.

                                                                                                                                                  Realms of Separation (bez Hybrid Data Security)

                                                                                                                                                  Aby sme lepšie porozumeli Hybrid Data Security, pozrime sa najprv na tento čistý cloud, kde Cisco poskytuje všetky funkcie vo svojich cloudových sférach. Služba identity, jediné miesto, kde môžu používatelia priamo korelovať so svojimi osobnými údajmi, ako je e-mailová adresa, je logicky a fyzicky oddelená od oblasti zabezpečenia v dátovom centre B. Obe sú zase oddelené od oblasti, kde je v konečnom dôsledku uložený šifrovaný obsah. , v dátovom centre C.

                                                                                                                                                  V tomto diagrame je klientom aplikácia Webex, ktorá beží na notebooku používateľa a je overená službou identity. Keď používateľ vytvorí správu na odoslanie do priestoru, vykonajú sa tieto kroky:

                                                                                                                                                  1. Klient vytvorí zabezpečené spojenie so službou správy kľúčov (KMS), potom požiada o kľúč na zašifrovanie správy. Zabezpečené pripojenie používa ECDH a KMS šifruje kľúč pomocou hlavného kľúča AES-256.

                                                                                                                                                  2. Správa je pred opustením klienta zašifrovaná. Klient ho odošle do indexovacej služby, ktorá vytvorí šifrované indexy vyhľadávania na pomoc pri budúcom vyhľadávaní obsahu.

                                                                                                                                                  3. Zašifrovaná správa sa odošle do služby súladu na kontrolu súladu.

                                                                                                                                                  4. Zašifrovaná správa je uložená v úložnej sfére.

                                                                                                                                                  Keď nasadíte Hybrid Data Security, presuniete funkcie bezpečnostnej sféry (KMS, indexovanie a súlad) do vášho lokálneho dátového centra. Ostatné cloudové služby, ktoré tvoria Webex (vrátane ukladania identity a obsahu), zostávajú v sférach spoločnosti Cisco.

                                                                                                                                                  Spolupráca s inými organizáciami

                                                                                                                                                  Používatelia vo vašej organizácii môžu pravidelne používať aplikáciu Webex na spoluprácu s externými účastníkmi v iných organizáciách. Keď jeden z vašich používateľov požaduje kľúč pre priestor, ktorý vlastní vaša organizácia (pretože ho vytvoril jeden z vašich používateľov), váš KMS odošle kľúč klientovi cez zabezpečený kanál ECDH. Keď však kľúč priestoru vlastní iná organizácia, váš KMS nasmeruje požiadavku do cloudu Webex cez samostatný kanál ECDH, aby získal kľúč z príslušného KMS, a potom vráti kľúč vášmu používateľovi na pôvodnom kanáli.

                                                                                                                                                  Služba KMS spustená v organizácii A overuje pripojenia ku KMS v iných organizáciách pomocou x.509 PKI certifikátov. Pozri Pripravte si prostredie podrobnosti o generovaní x.509 certifikátu na použitie s nasadením Hybrid Data Security.

                                                                                                                                                  Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov

                                                                                                                                                  Nasadenie Hybrid Data Security si vyžaduje značné nasadenie zákazníkov a uvedomenie si rizík, ktoré so sebou prináša vlastníctvo šifrovacích kľúčov.

                                                                                                                                                  Ak chcete nasadiť Hybrid Data Security, musíte poskytnúť:

                                                                                                                                                  Úplná strata buď konfiguračného ISO, ktoré ste vytvorili pre Hybrid Data Security, alebo databázy, ktorú poskytnete, bude mať za následok stratu kľúčov. Strata kľúča bráni používateľom dešifrovať obsah priestoru a ďalšie šifrované údaje v aplikácii Webex. Ak sa tak stane, môžete vytvoriť nové nasadenie, ale bude viditeľný iba nový obsah. Aby ste predišli strate prístupu k údajom, musíte:

                                                                                                                                                  • Spravujte zálohovanie a obnovu databázy a konfiguračného ISO.

                                                                                                                                                  • Buďte pripravení vykonať rýchlu obnovu po havárii, ak dôjde ku katastrofe, ako je zlyhanie databázového disku alebo katastrofa dátového centra.


                                                                                                                                                   

                                                                                                                                                  Neexistuje žiadny mechanizmus na presun kľúčov späť do cloudu po nasadení HDS.

                                                                                                                                                  Proces nastavenia na vysokej úrovni

                                                                                                                                                  Tento dokument pokrýva nastavenie a správu nasadenia Hybrid Data Security:

                                                                                                                                                  • Nastavte Hybridné zabezpečenie dát—To zahŕňa prípravu požadovanej infraštruktúry a inštaláciu softvéru Hybrid Data Security, testovanie vášho nasadenia s podskupinou používateľov v skúšobnom režime a po dokončení testovania prechod do produkcie. To prevedie celú organizáciu na používanie vášho klastra Hybrid Data Security na bezpečnostné funkcie.

                                                                                                                                                    Fázy nastavenia, skúšania a výroby sú podrobne opísané v nasledujúcich troch kapitolách.

                                                                                                                                                  • Udržujte svoje nasadenie Hybrid Data Security— Cloud Webex automaticky poskytuje priebežné aktualizácie. Vaše IT oddelenie môže poskytnúť podporu prvej úrovne pre toto nasadenie a podľa potreby zapojiť podporu Cisco. V Control Hub môžete používať upozornenia na obrazovke a nastaviť upozornenia prostredníctvom e-mailu.

                                                                                                                                                  • Pochopte bežné upozornenia, kroky na riešenie problémov a známe problémy—Ak narazíte na problémy s nasadením alebo používaním Hybrid Data Security, posledná kapitola tejto príručky a príloha Známe problémy vám môžu pomôcť určiť a vyriešiť problém.

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  V rámci podnikového dátového centra nasadíte Hybrid Data Security ako jeden klaster uzlov na samostatných virtuálnych hostiteľoch. Uzly komunikujú s cloudom Webex prostredníctvom zabezpečených webových zásuviek a zabezpečeného HTTP.

                                                                                                                                                  Počas procesu inštalácie vám poskytneme súbor OVA na nastavenie virtuálneho zariadenia na VM, ktoré poskytnete. Nástroj HDS Setup Tool použijete na vytvorenie vlastného konfiguračného súboru ISO klastra, ktorý pripojíte na každý uzol. Klaster Hybrid Data Security využíva váš poskytnutý server Syslogd a databázu PostgreSQL alebo Microsoft SQL Server. (Syslogd a podrobnosti o pripojení k databáze nakonfigurujete v nástroji HDS Setup Tool.)

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  Minimálny počet uzlov, ktoré môžete mať v klastri, sú dva. Odporúčame aspoň tri a môžete ich mať až päť. Viacnásobné uzly zaisťujú, že služba nebude prerušená počas aktualizácie softvéru alebo inej činnosti údržby na uzle. (Cloud Webex aktualizuje naraz iba jeden uzol.)

                                                                                                                                                  Všetky uzly v klastri pristupujú k rovnakému úložisku údajov kľúčov a zaznamenávajú aktivitu na rovnaký server syslog. Samotné uzly sú bez stavu a spracovávajú kľúčové požiadavky v režime round-robin podľa pokynov cloudu.

                                                                                                                                                  Uzly sa stanú aktívnymi, keď ich zaregistrujete v Control Hub. Ak chcete vyradiť jednotlivý uzol z prevádzky, môžete ho zrušiť a neskôr v prípade potreby znova zaregistrovať.

                                                                                                                                                  Podporujeme iba jeden klaster na organizáciu.

                                                                                                                                                  Skúšobný režim hybridnej bezpečnosti dát

                                                                                                                                                  Po nastavení nasadenia Hybrid Data Security ho najskôr vyskúšate so skupinou pilotných používateľov. Počas skúšobného obdobia títo používatelia používajú vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Ostatní vaši používatelia naďalej používajú oblasť zabezpečenia cloudu.

                                                                                                                                                  Ak sa rozhodnete nepokračovať v nasadzovaní počas skúšobného obdobia a službu deaktivujete, pilotní používatelia a všetci používatelia, s ktorými počas skúšobného obdobia interagovali vytvorením nových priestorov, stratia prístup k správam a obsahu. V aplikácii Webex sa im zobrazí „Táto správa sa nedá dešifrovať“.

                                                                                                                                                  Ak ste spokojní s tým, že vaše nasadenie funguje dobre pre skúšobných používateľov a ste pripravení rozšíriť Hybrid Data Security na všetkých svojich používateľov, presuniete nasadenie do produkcie. Pilotní používatelia majú naďalej prístup ku kľúčom, ktoré sa používali počas skúšobnej verzie. Nemôžete sa však pohybovať tam a späť medzi produkčným režimom a pôvodnou skúšobnou verziou. Ak musíte službu deaktivovať, napríklad vykonať obnovu po havárii, pri opätovnej aktivácii musíte spustiť novú skúšobnú verziu a nastaviť skupinu pilotných používateľov pre novú skúšobnú verziu, než sa vrátite späť do produkčného režimu. Či si používatelia v tomto bode zachovajú prístup k údajom, závisí od toho, či ste úspešne udržiavali zálohy úložiska kľúčových údajov a konfiguračného súboru ISO pre uzly Hybrid Data Security vo vašom klastri.

                                                                                                                                                  Pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Počas nasadenia nastavíte zabezpečené pohotovostné dátové centrum. V prípade havárie dátového centra môžete manuálne zlyhať nasadenie do pohotovostného dátového centra.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Manuálne prepnutie do pohotovostného dátového centra

                                                                                                                                                  Databázy aktívnych a pohotovostných dátových centier sú navzájom synchronizované, čo minimalizuje čas potrebný na vykonanie núdzového prepnutia. Súbor ISO pohotovostného dátového centra sa aktualizuje o ďalšie konfigurácie, ktoré zaisťujú, že uzly sú registrované v organizácii, ale nebudú spracovávať prevádzku. Preto uzly pohotovostného dátového centra zostávajú vždy aktuálne s najnovšou verziou softvéru HDS.


                                                                                                                                                   

                                                                                                                                                  Aktívne uzly Hybrid Data Security musia byť vždy v rovnakom údajovom centre ako aktívny databázový server.

                                                                                                                                                  Nastavte pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Ak chcete nakonfigurovať súbor ISO pohotovostného dátového centra, postupujte podľa nasledujúcich krokov:

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Pohotovostné dátové centrum by malo odrážať produkčné prostredie VM a záložnú databázu PostgreSQL alebo Microsoft SQL Server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM. (Pozri Pohotovostné dátové centrum pre obnovu po havárii pre prehľad tohto modelu núdzového prepnutia.)

                                                                                                                                                  • Uistite sa, že je povolená synchronizácia databázy medzi databázou aktívnych a pasívnych uzlov klastra.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Súbor ISO musí byť kópiou pôvodného súboru ISO primárneho dátového centra, v ktorom sa majú vykonať nasledujúce aktualizácie konfigurácie.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie, aby ste umiestnili uzol do pasívneho režimu. V tomto režime bude uzol zaregistrovaný v organizácii a pripojený ku cloudu, ale nebude spracovávať žiadny prenos.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte syslogy a overte, či sú uzly v pasívnom režime. V syslogoch by ste mali vidieť správu „KMS nakonfigurovaná v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Po konfigurácii passiveMode v súbore ISO a jeho uložením môžete vytvoriť ďalšiu kópiu súboru ISO bez súboru passiveMode konfiguráciu a uložte ju na bezpečnom mieste. Táto kópia súboru ISO bez passiveMode nakonfigurovaný môže pomôcť pri rýchlom procese núdzového prepnutia počas obnovy po havárii. Pozri Obnova po havárii pomocou pohotovostného dátového centra pre podrobný postup núdzového prepnutia.

                                                                                                                                                  Podpora proxy

                                                                                                                                                  Hybrid Data Security podporuje explicitné, transparentné kontrolné a nekontrolujúce proxy. Tieto servery proxy môžete prepojiť s nasadením, aby ste mohli zabezpečiť a monitorovať prevádzku z podniku do cloudu. Rozhranie správcu platformy na uzloch môžete použiť na správu certifikátov a na kontrolu celkového stavu pripojenia po nastavení servera proxy na uzloch.

                                                                                                                                                  Uzly Hybrid Data Security podporujú nasledujúce možnosti proxy:

                                                                                                                                                  • Žiadny proxy—Predvolené, ak na integráciu servera proxy nepoužívate nastavenie uzla HDS Trust Store & Proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentný nekontrolujúci splnomocnenec– Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentné tunelovanie alebo kontrola proxy– Uzly nie sú nakonfigurované na používanie špecifickej adresy servera proxy. Na uzloch nie sú potrebné žiadne zmeny konfigurácie HTTP alebo HTTPS. Uzly však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).

                                                                                                                                                  • Explicitný proxy—S explicitným proxy, poviete HDS uzlom, ktorý proxy server a overovaciu schému použiť. Ak chcete nakonfigurovať explicitný server proxy, musíte do každého uzla zadať nasledujúce informácie:

                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol—V závislosti od toho, čo váš proxy server podporuje, vyberte si z nasledujúcich protokolov:

                                                                                                                                                      • HTTP – zobrazuje a riadi všetky požiadavky, ktoré klient odosiela.

                                                                                                                                                      • HTTPS – poskytuje kanál pre server. Klient prijme a overí certifikát servera.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné, iba ak vyberiete HTTPS ako protokol proxy.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                  Príklad uzlov na zabezpečenie hybridných dát a proxy

                                                                                                                                                  Tento diagram ukazuje príklad spojenia medzi Hybrid Data Security, sieťou a proxy. Pre možnosti transparentnej kontroly a explicitnej kontroly HTTPS proxy musí byť na serveri proxy aj na uzloch Hybrid Data Security nainštalovaný rovnaký koreňový certifikát.

                                                                                                                                                  Blokovaný režim externého rozlíšenia DNS (explicitné konfigurácie proxy)

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. V nasadeniach s explicitnými konfiguráciami proxy, ktoré neumožňujú externé rozlíšenie DNS pre interných klientov, ak uzol nemôže dotazovať servery DNS, automaticky prejde do režimu blokovaného externého riešenia DNS. V tomto režime môže pokračovať registrácia uzla a ďalšie testy pripojenia proxy.

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  Požiadavky na hybridnú bezpečnosť dát

                                                                                                                                                  Požiadavky na licenciu Cisco Webex

                                                                                                                                                  Nasadenie Hybrid Data Security:

                                                                                                                                                  Požiadavky na plochu Docker

                                                                                                                                                  Pred inštaláciou uzlov HDS potrebujete Docker Desktop na spustenie inštalačného programu. Docker nedávno aktualizoval svoj licenčný model. Vaša organizácia môže vyžadovať platené predplatné pre Docker Desktop. Podrobnosti nájdete v blogovom príspevku Docker, " Docker aktualizuje a rozširuje naše predplatné produktov".

                                                                                                                                                  Požiadavky na certifikát X.509

                                                                                                                                                  Certifikačný reťazec musí spĺňať nasledujúce požiadavky:

                                                                                                                                                  Stôl 1. Požiadavky certifikátu X.509 pre nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Požiadavka

                                                                                                                                                  Podrobnosti

                                                                                                                                                  • Podpísané dôveryhodnou certifikačnou autoritou (CA)

                                                                                                                                                  V predvolenom nastavení dôverujeme CA v zozname Mozilly (s výnimkou WoSign a StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Nesie názov domény Common Name (CN), ktorý identifikuje vaše nasadenie Hybrid Data Security

                                                                                                                                                  • Nie je to zástupný certifikát

                                                                                                                                                  CN nemusí byť dosiahnuteľné alebo živého hostiteľa. Odporúčame vám použiť názov, ktorý odráža vašu organizáciu, napr. hds.company.com.

                                                                                                                                                  KN nesmie obsahovať * (zástupný znak).

                                                                                                                                                  CN sa používa na overenie uzlov Hybrid Data Security pre klientov Webex App. Všetky uzly Hybrid Data Security vo vašom klastri používajú rovnaký certifikát. Váš KMS sa identifikuje pomocou domény CN, nie akejkoľvek domény, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  Po zaregistrovaní uzla s týmto certifikátom nepodporujeme zmenu názvu domény CN. Vyberte doménu, ktorá sa môže vzťahovať na skúšobné aj produkčné nasadenie.

                                                                                                                                                  • Podpis iný ako SHA1

                                                                                                                                                  Softvér KMS nepodporuje podpisy SHA1 na overenie pripojení k KMS iných organizácií.

                                                                                                                                                  • Naformátovaný ako súbor PKCS #12 chránený heslom

                                                                                                                                                  • Použite priateľský názov kms-private-key na označenie certifikátu, súkromného kľúča a akýchkoľvek sprostredkujúcich certifikátov na odovzdanie.

                                                                                                                                                  Na zmenu formátu certifikátu môžete použiť konvertor, ako je OpenSSL.

                                                                                                                                                  Pri spustení nástroja HDS Setup Tool budete musieť zadať heslo.

                                                                                                                                                  Softvér KMS nevynucuje používanie kľúčov ani rozšírené obmedzenia používania kľúčov. Niektoré certifikačné autority vyžadujú, aby sa na každý certifikát aplikovali rozšírené obmedzenia používania kľúčov, ako je autentifikácia servera. Je v poriadku použiť overenie servera alebo iné nastavenia.

                                                                                                                                                  Požiadavky na virtuálny hostiteľ

                                                                                                                                                  Virtuálni hostitelia, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri, majú nasledujúce požiadavky:

                                                                                                                                                  • Aspoň dvaja oddelení hostitelia (odporúčajú sa 3) umiestnení v rovnakom zabezpečenom dátovom centre

                                                                                                                                                  • VMware ESXi 6.5 (alebo novší) nainštalovaný a spustený.


                                                                                                                                                     

                                                                                                                                                    Ak máte staršiu verziu ESXi, musíte vykonať inováciu.

                                                                                                                                                  • Minimálne 4 vCPU, 8 GB hlavnej pamäte, 30 GB miesta na lokálnom pevnom disku na server

                                                                                                                                                  Požiadavky na databázový server


                                                                                                                                                   

                                                                                                                                                  Vytvorte novú databázu pre uloženie kľúčov. Nepoužívajte predvolenú databázu. Aplikácie HDS, keď sú nainštalované, vytvoria schému databázy.

                                                                                                                                                  Pre databázový server sú dve možnosti. Požiadavky na každú z nich sú nasledovné:

                                                                                                                                                  Tabuľka 2 Požiadavky na databázový server podľa typu databázy

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  • PostgreSQL 14, 15 alebo 16, nainštalovaný a spustený.

                                                                                                                                                  • SQL Server 2016, 2017 alebo 2019 (Enterprise alebo Standard) nainštalovaný.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 vyžaduje Service Pack 2 a Kumulatívna aktualizácia 2 alebo novšia.

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Softvér HDS momentálne inštaluje nasledujúce verzie ovládačov na komunikáciu s databázovým serverom:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  Postgres JDBC ovládač 42.2.5

                                                                                                                                                  Ovládač SQL Server JDBC 4.6

                                                                                                                                                  Táto verzia ovládača podporuje SQL Server Always On ( Vždy v prípade zlyhania klastra a Vždy zapnuté skupiny dostupnosti).

                                                                                                                                                  Dodatočné požiadavky na overenie systému Windows voči Microsoft SQL Server

                                                                                                                                                  Ak chcete, aby uzly HDS používali autentifikáciu systému Windows na získanie prístupu k vašej databáze úložiska kľúčov na serveri Microsoft SQL Server, potrebujete vo svojom prostredí nasledujúcu konfiguráciu:

                                                                                                                                                  • HDS uzly, infraštruktúra Active Directory a MS SQL Server musia byť synchronizované s NTP.

                                                                                                                                                  • Účet Windows, ktorý poskytnete uzlom HDS, musí mať prístup k databáze na čítanie/zápis.

                                                                                                                                                  • Servery DNS, ktoré poskytujete uzlom HDS, musia byť schopné vyriešiť vaše Centrum distribúcie kľúčov (KDC).

                                                                                                                                                  • Inštanciu databázy HDS môžete zaregistrovať na svojom serveri Microsoft SQL Server ako hlavný názov služby (SPN) vo vašom adresári Active Directory. Pozri Zaregistrujte hlavný názov služby pre pripojenia Kerberos.

                                                                                                                                                    Nástroj na nastavenie HDS, spúšťač HDS a miestne KMS musia na prístup k databáze kľúčov používať overenie systému Windows. Používajú podrobnosti z vašej konfigurácie ISO na vytvorenie SPN pri požadovaní prístupu s overením Kerberos.

                                                                                                                                                  Požiadavky na externé pripojenie

                                                                                                                                                  Nakonfigurujte svoj firewall tak, aby umožňoval nasledujúce pripojenie pre aplikácie HDS:

                                                                                                                                                  Aplikácia

                                                                                                                                                  Protokol

                                                                                                                                                  Port

                                                                                                                                                  Smer z App

                                                                                                                                                  Destinácia

                                                                                                                                                  Hybridné uzly zabezpečenia údajov

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS a WSS

                                                                                                                                                  • Webex servery:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • Ďalšie adresy URL, ktoré sú uvedené pre Hybrid Data Security v Ďalšie adresy URL pre hybridné služby Webex tabuľka Sieťové požiadavky pre služby Webex

                                                                                                                                                  Nástroj na nastavenie HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Uzly Hybrid Data Security pracujú s prekladom sieťového prístupu (NAT) alebo za bránou firewall, pokiaľ NAT alebo brána firewall umožňuje požadované odchádzajúce pripojenia k destináciám domény v predchádzajúcej tabuľke. Pre pripojenia prichádzajúce do uzlov Hybrid Data Security by nemali byť z internetu viditeľné žiadne porty. V rámci vášho dátového centra potrebujú klienti prístup k uzlom Hybrid Data Security na portoch TCP 443 a 22 na administratívne účely.

                                                                                                                                                  Adresy URL hostiteľov Common Identity (CI) sú špecifické pre daný región. Toto sú súčasní hostitelia CI:

                                                                                                                                                  región

                                                                                                                                                  Spoločné adresy URL hostiteľa identity

                                                                                                                                                  Ameriky

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Európska únia

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Kanada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Požiadavky na proxy server

                                                                                                                                                  • Oficiálne podporujeme nasledujúce proxy riešenia, ktoré sa dajú integrovať s vašimi uzlami Hybrid Data Security.

                                                                                                                                                    • Transparentný proxy – Cisco Web Security Appliance (WSA).

                                                                                                                                                    • Explicitný proxy-Squid.


                                                                                                                                                       

                                                                                                                                                      Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky (wss:) spojenia. Ak chcete tento problém obísť, pozrite si Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát.

                                                                                                                                                  • Pre explicitné servery proxy podporujeme nasledujúce kombinácie typov overenia:

                                                                                                                                                    • Žiadna autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Základná autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Digest overenie iba s HTTPS

                                                                                                                                                  • Pre transparentný kontrolný proxy server alebo explicitný proxy server HTTPS musíte mať kópiu koreňového certifikátu servera proxy. Pokyny na nasadenie v tejto príručke vám povedia, ako nahrať kópiu do dôveryhodných obchodov uzlov Hybrid Data Security.

                                                                                                                                                  • Sieť, ktorá hostí uzly HDS, musí byť nakonfigurovaná tak, aby vynútila smerovanie odchádzajúcej prevádzky TCP na porte 443 cez server proxy.

                                                                                                                                                  • Proxy, ktoré kontrolujú webovú prevádzku, môžu narúšať pripojenia webových soketov. Ak sa vyskytne tento problém, obíďte (nie kontrolujte) premávku na wbx2.com a ciscospark.com problém vyrieši.

                                                                                                                                                  Vyplňte Predpoklady pre hybridnú bezpečnosť údajov

                                                                                                                                                  Pomocou tohto kontrolného zoznamu sa uistite, že ste pripravení na inštaláciu a konfiguráciu klastra Hybrid Data Security.
                                                                                                                                                  1

                                                                                                                                                  Uistite sa, že vaša organizácia Webex má povolený balík Pro Pack pre Cisco Webex Control Hub a získajte prihlasovacie údaje účtu s úplnými právami správcu organizácie. Ak potrebujete pomoc s týmto procesom, kontaktujte svojho partnera Cisco alebo account manažéra.

                                                                                                                                                  2

                                                                                                                                                  Vyberte názov domény pre svoje nasadenie HDS (napr. hds.company.com) a získajte reťaz certifikátov obsahujúci certifikát X.509, súkromný kľúč a akékoľvek sprostredkujúce certifikáty. Certifikačný reťazec musí spĺňať požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  3

                                                                                                                                                  Pripravte si identických virtuálnych hostiteľov, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri. Potrebujete aspoň dvoch samostatných hostiteľov (odporúčajú sa 3) umiestnených v rovnakom zabezpečenom dátovom centre, ktorí spĺňajú požiadavky v Požiadavky na virtuálny hostiteľ.

                                                                                                                                                  4

                                                                                                                                                  Pripravte databázový server, ktorý bude fungovať ako úložisko kľúčových údajov pre klaster, podľa Požiadavky na databázový server. Databázový server musí byť umiestnený v zabezpečenom údajovom centre spolu s virtuálnymi hostiteľmi.

                                                                                                                                                  1. Vytvorte databázu pre ukladanie kľúčov. (Túto databázu musíte vytvoriť – nepoužívajte predvolenú databázu. Aplikácie HDS po nainštalovaní vytvoria schému databázy.)

                                                                                                                                                  2. Zhromaždite podrobnosti, ktoré budú uzly používať na komunikáciu s databázovým serverom:

                                                                                                                                                    • názov hostiteľa alebo IP adresa (hostiteľ) a port

                                                                                                                                                    • názov databázy (dbname) pre uloženie kľúčov

                                                                                                                                                    • užívateľské meno a heslo užívateľa so všetkými privilégiami v databáze kľúča

                                                                                                                                                  5

                                                                                                                                                  Pre rýchlu obnovu po havárii nastavte zálohovacie prostredie v inom dátovom centre. Zálohovacie prostredie odzrkadľuje produkčné prostredie VM a záložný databázový server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Nastavte hostiteľa syslog na zhromažďovanie protokolov z uzlov v klastri. Získajte jeho sieťovú adresu a port syslog (predvolené je UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Vytvorte politiku bezpečného zálohovania pre uzly Hybrid Data Security, databázový server a hostiteľa syslog. Aby ste predišli nenapraviteľnej strate údajov, musíte minimálne zálohovať databázu a konfiguračný súbor ISO vygenerovaný pre uzly Hybrid Data Security.


                                                                                                                                                   

                                                                                                                                                  Pretože uzly Hybrid Data Security ukladajú kľúče používané na šifrovanie a dešifrovanie obsahu, zlyhanie pri udržiavaní operačného nasadenia bude mať za následok NENÁHRADITEĽNÁ STRATA tohto obsahu.

                                                                                                                                                  Klienti Webex App ukladajú svoje kľúče do vyrovnávacej pamäte, takže výpadok nemusí byť okamžite viditeľný, ale časom sa prejaví. Zatiaľ čo dočasným výpadkom nie je možné zabrániť, sú obnoviteľné. Úplná strata (nie sú k dispozícii žiadne zálohy) databázy alebo konfiguračného ISO súboru však bude mať za následok neobnoviteľné zákaznícke údaje. Od operátorov uzlov Hybrid Data Security sa očakáva, že budú pravidelne zálohovať databázu a konfiguračný ISO súbor a budú pripravení na prestavbu dátového centra Hybrid Data Security, ak dôjde ku katastrofálnej poruche.

                                                                                                                                                  8

                                                                                                                                                  Uistite sa, že vaša konfigurácia brány firewall umožňuje pripojenie pre vaše uzly Hybrid Data Security, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  9

                                                                                                                                                  Nainštalujte Docker ( https://www.docker.com) na akomkoľvek lokálnom počítači s podporovaným operačným systémom (Microsoft Windows 10 Professional alebo Enterprise 64-bit, alebo Mac OSX Yosemite 10.10.3 alebo novší) s webovým prehliadačom, ktorý k nemu môže pristupovať na http://127.0.0.1:8080.

                                                                                                                                                  Inštanciu Docker použijete na stiahnutie a spustenie nástroja HDS Setup Tool, ktorý vytvorí informácie o lokálnej konfigurácii pre všetky uzly Hybrid Data Security. Vaša organizácia môže potrebovať licenciu Docker Desktop. Pozri Požiadavky na plochu Docker Pre viac informácií.

                                                                                                                                                  Ak chcete nainštalovať a spustiť nástroj HDS Setup Tool, lokálny počítač musí mať konektivitu uvedenú v Požiadavky na externé pripojenie.

                                                                                                                                                  10

                                                                                                                                                  Ak integrujete proxy s Hybrid Data Security, uistite sa, že spĺňa Požiadavky na proxy server.

                                                                                                                                                  11

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, vytvorte skupinu v Active Directory s názvom HdsTrialGroup a pridajte pilotných používateľov. Skúšobná skupina môže mať až 250 používateľov. The HdsTrialGroup Pred spustením skúšobnej verzie pre vašu organizáciu musí byť objekt synchronizovaný s cloudom. Ak chcete synchronizovať objekt skupiny, vyberte ho v priečinku Directory Connector Konfigurácia > Výber objektu Ponuka. (Podrobné pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Pri výbere pilotných používateľov majte na pamäti, že ak sa rozhodnete natrvalo deaktivovať nasadenie Hybrid Data Security, všetci používatelia stratia prístup k obsahu v priestoroch, ktoré vytvorili pilotní používatelia. Strata sa prejaví hneď, ako aplikácie používateľov obnovia svoje kópie obsahu uložené vo vyrovnávacej pamäti.

                                                                                                                                                  Nastavte Hybrid Data Security Cluster

                                                                                                                                                  Tok úloh nasadenia zabezpečenia hybridných údajov

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  1

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  Stiahnite si súbor OVA na váš lokálny počítač pre neskoršie použitie.

                                                                                                                                                  2

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Pomocou nástroja HDS Setup Tool vytvorte konfiguračný súbor ISO pre uzly Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Vytvorte virtuálny počítač zo súboru OVA a vykonajte počiatočnú konfiguráciu, ako sú nastavenia siete.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  4

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Prihláste sa do konzoly VM a nastavte prihlasovacie poverenia. Nakonfigurujte sieťové nastavenia pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  5

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Nakonfigurujte VM z konfiguračného súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  6

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje konfiguráciu servera proxy, zadajte typ servera proxy, ktorý použijete pre uzol, a v prípade potreby pridajte certifikát servera proxy do dôveryhodného úložiska.

                                                                                                                                                  7

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Zaregistrujte VM v cloude Cisco Webex ako uzol Hybrid Data Security.

                                                                                                                                                  8

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Dokončite nastavenie klastra.

                                                                                                                                                  9

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)

                                                                                                                                                  Kým nezačnete skúšobnú verziu, vaše uzly generujú alarm oznamujúci, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  V tejto úlohe stiahnete súbor OVA do svojho počítača (nie na servery, ktoré ste nastavili ako uzly Hybrid Data Security). Tento súbor použijete neskôr v procese inštalácie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom kliknite Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybridné služby nájdite kartu Hybrid Data Security a potom kliknite Nastaviť.

                                                                                                                                                  Ak je karta zakázaná alebo ju nevidíte, kontaktujte tím spravujúci váš účet alebo partnerskú organizáciu. Poskytnite im svoje číslo účtu a požiadajte, aby vašej organizácii umožnili Hybridné zabezpečenie dát. Ak chcete nájsť číslo účtu, kliknite na ozubené koliesko vpravo hore vedľa názvu organizácie.


                                                                                                                                                   

                                                                                                                                                  OVA si tiež môžete kedykoľvek stiahnuť z Pomoc oddiel na nastavenie stránku. Na karte Hybrid Data Security kliknite na Upraviť nastavenia otvorte stránku. Potom kliknite Stiahnite si softvér Hybrid Data Security v Pomoc oddiele.


                                                                                                                                                   

                                                                                                                                                  Staršie verzie softvérového balíka (OVA) nebudú kompatibilné s najnovšími aktualizáciami Hybrid Data Security. To môže viesť k problémom pri inovácii aplikácie. Uistite sa, že ste si stiahli najnovšiu verziu súboru OVA.

                                                                                                                                                  3

                                                                                                                                                  Vyberte Nie na označenie, že ste ešte nenastavili uzol, a potom kliknite Ďalšie.

                                                                                                                                                  Automaticky sa začne sťahovať súbor OVA. Uložte súbor na miesto v počítači.
                                                                                                                                                  4

                                                                                                                                                  Voliteľne kliknite Otvorte Sprievodcu nasadením a skontrolujte, či je k dispozícii novšia verzia tejto príručky.

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Proces nastavenia Hybrid Data Security vytvorí súbor ISO. Potom použijete ISO na konfiguráciu hostiteľa Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak nástroj HDS Setup beží za serverom proxy vo vašom prostredí, pri spúšťaní kontajnera Docker v kroku poskytnite nastavenia servera proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 5. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Konfiguračný súbor ISO, ktorý vygenerujete, obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. Najnovšiu kópiu tohto súboru potrebujete vždy, keď vykonáte zmeny v konfigurácii, ako napríklad:

                                                                                                                                                    • Databázové poverenia

                                                                                                                                                    • Aktualizácie certifikátov

                                                                                                                                                    • Zmeny v politike autorizácie

                                                                                                                                                  • Ak plánujete šifrovať pripojenia k databáze, nastavte svoje nasadenie PostgreSQL alebo SQL Server pre TLS.

                                                                                                                                                  1

                                                                                                                                                  Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2

                                                                                                                                                  Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  • V bežných prostrediach bez servera proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V prostrediach FedRAMP bez proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  Pomocou webového prehliadača prejdite na localhost, http://127.0.0.1:8080 a po výzve zadajte používateľské meno správcu zákazníka pre Control Hub.

                                                                                                                                                  Nástroj používa toto prvé zadanie používateľského mena na nastavenie správneho prostredia pre daný účet. Nástroj potom zobrazí štandardnú výzvu na prihlásenie.

                                                                                                                                                  7

                                                                                                                                                  Po zobrazení výzvy zadajte svoje prihlasovacie poverenia správcu zákazníka Control Hub a potom kliknite Prihlásiť sa na umožnenie prístupu k požadovaným službám pre Hybridnú bezpečnosť dát.

                                                                                                                                                  8

                                                                                                                                                  Na stránke prehľadu nástroja Setup kliknite na Začať.

                                                                                                                                                  9

                                                                                                                                                  Na ISO import stránku, máte tieto možnosti:

                                                                                                                                                  • Nie—Ak vytvárate svoj prvý uzol HDS, nemáte súbor ISO na nahranie.
                                                                                                                                                  • Áno—Ak ste už vytvorili uzly HDS, vyberte súbor ISO v prehľadávaní a nahrajte ho.
                                                                                                                                                  10

                                                                                                                                                  Skontrolujte, či váš certifikát X.509 spĺňa požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  • Ak ste nikdy predtým nenahrali certifikát, nahrajte certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  • Ak je váš certifikát v poriadku, kliknite ďalej.
                                                                                                                                                  • Ak platnosť vášho certifikátu vypršala alebo ho chcete nahradiť, vyberte Nie pre Pokračovať v používaní reťazca certifikátov HDS a súkromného kľúča z predchádzajúceho ISO?. Nahrajte nový certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  11

                                                                                                                                                  Zadajte databázovú adresu a účet pre HDS, aby ste získali prístup k vášmu úložisku kľúčových údajov:

                                                                                                                                                  1. Vyberte si svoj Typ databázy (PostgreSQL alebo Microsoft SQL Server).

                                                                                                                                                    Ak si vyberiete Microsoft SQL Server, získate pole Typ overenia.

                                                                                                                                                  2. (Microsoft SQL Server iba) Vyberte si autentický typ:

                                                                                                                                                    • Základná autentifikácia: Potrebujete názov lokálneho účtu SQL Server v súbore Používateľské meno lúka.

                                                                                                                                                    • Overenie systému Windows: Potrebujete účet Windows vo formáte username@DOMAIN v Používateľské meno lúka.

                                                                                                                                                  3. Do formulára zadajte adresu databázového servera <hostname>:<port> alebo <IP-address>:<port>.

                                                                                                                                                    Príklad:
                                                                                                                                                    dbhost.example.org:1433 alebo 198.51.100.17:1433

                                                                                                                                                    Môžete použiť IP adresu na základnú autentifikáciu, ak uzly nemôžu použiť DNS na rozlíšenie názvu hostiteľa.

                                                                                                                                                    Ak používate overovanie systému Windows, musíte zadať úplný názov domény vo formáte dbhost.example.org:1433

                                                                                                                                                  4. Zadajte Názov databázy.

                                                                                                                                                  5. Zadajte Používateľské meno a heslo používateľa so všetkými oprávneniami na databázu úložiska kľúčov.

                                                                                                                                                  12

                                                                                                                                                  Vyberte a Režim pripojenia databázy TLS:

                                                                                                                                                  Režim

                                                                                                                                                  Opis

                                                                                                                                                  Preferujem TLS (predvolená možnosť)

                                                                                                                                                  HDS uzly nevyžadujú TLS na pripojenie k databázovému serveru. Ak povolíte TLS na databázovom serveri, uzly sa pokúsia o šifrované pripojenie.

                                                                                                                                                  Vyžadovať TLS

                                                                                                                                                  Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu


                                                                                                                                                   

                                                                                                                                                  Tento režim nie je použiteľný pre databázy SQL Server.

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu a názov hostiteľa

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  • Uzly tiež overujú, či sa názov hostiteľa v certifikáte servera zhoduje s názvom hostiteľa v Hostiteľ databázy a port lúka. Názvy sa musia presne zhodovať, inak uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Keď nahráte koreňový certifikát (ak je to potrebné) a kliknite na ďalej, HDS Setup Tool otestuje TLS pripojenie k databázovému serveru. Nástroj tiež overuje podpisovateľa certifikátu a názov hostiteľa, ak je to potrebné. Ak test zlyhá, nástroj zobrazí chybové hlásenie popisujúce problém. Môžete si vybrať, či chcete chybu ignorovať a pokračovať v nastavovaní. (Vzhľadom na rozdiely v konektivite môžu byť uzly HDS schopné nadviazať pripojenie TLS, aj keď ho zariadenie HDS Setup Tool nedokáže úspešne otestovať.)

                                                                                                                                                  13

                                                                                                                                                  Na stránke Systémové denníky nakonfigurujte svoj server Syslogd:

                                                                                                                                                  1. Zadajte adresu URL servera syslog.

                                                                                                                                                    Ak server nie je schopný rozlíšiť DNS z uzlov pre váš klaster HDS, použite v adrese URL adresu IP.

                                                                                                                                                    Príklad:
                                                                                                                                                    udp://10.92.43.23:514 označuje prihlásenie do hostiteľa Syslogd 10.92.43.23 na porte UDP 514.
                                                                                                                                                  2. Ak ste nastavili svoj server na používanie šifrovania TLS, skontrolujte Je váš server syslog nakonfigurovaný na šifrovanie SSL?.

                                                                                                                                                    Ak začiarknete toto políčko, uistite sa, že ste zadali TCP URL, ako napr tcp://10.92.43.23:514.

                                                                                                                                                  3. Z Vyberte ukončenie záznamu syslog v rozbaľovacej ponuke vyberte vhodné nastavenie pre váš súbor ISO: Choose alebo Newline sa používa pre Graylog a Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Nový riadok -- \n—Vyberte túto voľbu pre Graylog a Rsyslog TCP.

                                                                                                                                                  4. Kliknite ďalej.

                                                                                                                                                  14

                                                                                                                                                  (Voliteľné) Môžete zmeniť predvolenú hodnotu pre niektoré parametre pripojenia k databáze v Pokročilé nastavenia. Vo všeobecnosti je tento parameter jediný, ktorý možno budete chcieť zmeniť:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Kliknite ďalej na Obnovte heslo servisných účtov obrazovke.

                                                                                                                                                  Heslá k servisným účtom majú životnosť deväť mesiacov. Túto obrazovku použite, keď sa blíži koniec platnosti vašich hesiel alebo ich chcete resetovať, aby ste zrušili platnosť predchádzajúcich súborov ISO.

                                                                                                                                                  16

                                                                                                                                                  Kliknite Stiahnite si súbor ISO. Uložte súbor na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  17

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme.

                                                                                                                                                  Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  18

                                                                                                                                                  Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zálohujte konfiguračný súbor ISO. Potrebujete ho na vytvorenie ďalších uzlov na obnovu alebo na vykonanie zmien v konfigurácii. Ak stratíte všetky kópie súboru ISO, stratili ste aj hlavný kľúč. Obnovenie kľúčov z databázy PostgreSQL alebo Microsoft SQL Server nie je možné.


                                                                                                                                                   

                                                                                                                                                  Nikdy nemáme kópiu tohto kľúča a nemôžeme vám pomôcť, ak ho stratíte.

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Tento postup použite na vytvorenie virtuálneho počítača zo súboru OVA.
                                                                                                                                                  1

                                                                                                                                                  Na prihlásenie do virtuálneho hostiteľa ESXi použite klienta VMware vSphere na vašom počítači.

                                                                                                                                                  2

                                                                                                                                                  Vyberte Súbor > Nasadiť šablónu OVF.

                                                                                                                                                  3

                                                                                                                                                  V sprievodcovi zadajte umiestnenie súboru OVA, ktorý ste si stiahli skôr, a potom kliknite Ďalšie .

                                                                                                                                                  4

                                                                                                                                                  Na Vyberte názov a priečinok stránku, zadajte a Názov virtuálneho počítača pre uzol (napríklad „HDS_Node_1"), vyberte umiestnenie, kde sa môže nachádzať nasadenie uzla virtuálneho počítača, a potom kliknite Ďalšie .

                                                                                                                                                  5

                                                                                                                                                  Na Vyberte výpočtový zdroj vyberte cieľový výpočtový zdroj a potom kliknite Ďalšie .

                                                                                                                                                  Prebehne overovacia kontrola. Po dokončení sa zobrazia podrobnosti šablóny.

                                                                                                                                                  6

                                                                                                                                                  Overte podrobnosti šablóny a potom kliknite Ďalšie.

                                                                                                                                                  7

                                                                                                                                                  Ak sa zobrazí výzva na výber konfigurácie prostriedkov na Konfigurácia stránku, kliknite 4 CPU a potom kliknite Ďalšie .

                                                                                                                                                  8

                                                                                                                                                  Na Vyberte úložisko stránku, kliknite Ďalšie akceptovať predvolený formát disku a politiku úložiska VM.

                                                                                                                                                  9

                                                                                                                                                  Na Vyberte siete vyberte sieťovú možnosť zo zoznamu položiek, aby ste poskytli požadované pripojenie k VM.

                                                                                                                                                  10

                                                                                                                                                  Na Prispôsobiť šablónu nakonfigurujte nasledujúce nastavenia siete:

                                                                                                                                                  • Meno hosťa— Zadajte FQDN (názov hostiteľa a doménu) alebo jednoslovný názov hostiteľa pre uzol.

                                                                                                                                                     
                                                                                                                                                    • Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                    • Ak chcete zabezpečiť úspešnú registráciu do cloudu, použite iba malé písmená v FQDN alebo názve hostiteľa, ktorý ste nastavili pre uzol. Veľké písmená momentálne nie sú podporované.

                                                                                                                                                    • Celková dĺžka FQDN nesmie presiahnuť 64 znakov.

                                                                                                                                                  • IP adresa— Zadajte IP adresu interného rozhrania uzla.

                                                                                                                                                     

                                                                                                                                                    Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  • Maska— Zadajte adresu masky podsiete v desiatkovom formáte bodka. Napríklad, 255.255.255.0.
                                                                                                                                                  • Brána— Zadajte IP adresu brány. Brána je sieťový uzol, ktorý slúži ako prístupový bod do inej siete.
                                                                                                                                                  • DNS servery— Zadajte čiarkami oddelený zoznam serverov DNS, ktoré sa starajú o preklad názvov domén na číselné adresy IP. (Povolené sú až 4 záznamy DNS.)
                                                                                                                                                  • NTP servery—Zadajte server NTP vašej organizácie alebo iný externý server NTP, ktorý možno použiť vo vašej organizácii. Predvolené servery NTP nemusia fungovať pre všetky podniky. Na zadanie viacerých serverov NTP môžete použiť aj zoznam oddelený čiarkami.
                                                                                                                                                  • Nasaďte všetky uzly v rovnakej podsieti alebo VLAN, aby boli všetky uzly v klastri dosiahnuteľné z klientov vo vašej sieti na administratívne účely.

                                                                                                                                                  Ak chcete, môžete preskočiť konfiguráciu nastavenia siete a postupovať podľa krokov v Nastavte virtuálny počítač Hybrid Data Security na konfiguráciu nastavení z konzoly uzla.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  11

                                                                                                                                                  Kliknite pravým tlačidlom myši na uzol VM a potom vyberte Moc > Zapnutie .

                                                                                                                                                  Softvér Hybrid Data Security je nainštalovaný ako hosť na hostiteľovi VM. Teraz ste pripravení prihlásiť sa do konzoly a nakonfigurovať uzol.

                                                                                                                                                  Tipy na riešenie problémov

                                                                                                                                                  Môžete zaznamenať oneskorenie niekoľkých minút, kým sa kontajnery uzlov objavia. Počas prvého spustenia, počas ktorého sa nemôžete prihlásiť, sa na konzole zobrazí správa brány firewall mosta.

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Tento postup použite na prvé prihlásenie do konzoly VM uzla Hybrid Data Security a nastavenie prihlasovacích poverení. Konzolu môžete použiť aj na konfiguráciu sieťových nastavení pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  1

                                                                                                                                                  V klientovi VMware vSphere vyberte svoj uzol Hybrid Data Security VM a vyberte Konzola tab.

                                                                                                                                                  VM sa spustí a zobrazí sa výzva na prihlásenie. Ak sa výzva na prihlásenie nezobrazí, stlačte Zadajte.
                                                                                                                                                  2

                                                                                                                                                  Na prihlásenie a zmenu poverení použite nasledujúce predvolené prihlasovacie meno a heslo:

                                                                                                                                                  1. Prihlásiť sa: admin

                                                                                                                                                  2. heslo: cisco

                                                                                                                                                  Keďže sa do svojho VM prihlasujete prvýkrát, musíte zmeniť heslo správcu.

                                                                                                                                                  3

                                                                                                                                                  Ak ste už nakonfigurovali nastavenia siete v Nainštalujte HDS Host OVA, preskočte zvyšok tohto postupu. V opačnom prípade vyberte v hlavnom menu položku Upraviť konfiguráciu možnosť.

                                                                                                                                                  4

                                                                                                                                                  Nastavte statickú konfiguráciu s IP adresou, maskou, bránou a informáciami DNS. Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  5

                                                                                                                                                  (Voliteľné) Zmeňte názov hostiteľa, doménu alebo server(y) NTP, ak je to potrebné, aby zodpovedali zásadám vašej siete.

                                                                                                                                                  Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                  6

                                                                                                                                                  Uložte konfiguráciu siete a reštartujte VM, aby sa zmeny prejavili.

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Tento postup použite na konfiguráciu virtuálneho počítača zo súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pretože súbor ISO obsahuje hlavný kľúč, mal by byť zverejnený iba na základe „potreby vedieť“, aby k nemu mali prístup virtuálne počítače s hybridným zabezpečením údajov a všetci správcovia, ktorí môžu potrebovať vykonať zmeny. Uistite sa, že k úložisku údajov majú prístup iba títo správcovia.

                                                                                                                                                  1

                                                                                                                                                  Nahrajte súbor ISO z počítača:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite na server ESXi.

                                                                                                                                                  2. Na karte Konfigurácia v zozname Hardvér kliknite na Skladovanie.

                                                                                                                                                  3. V zozname Úložisko údajov kliknite pravým tlačidlom myši na úložisko údajov pre vaše VM a kliknite Prehľadávať Datastore.

                                                                                                                                                  4. Kliknite na ikonu Nahrať súbory a potom kliknite na Nahrajte súbor.

                                                                                                                                                  5. Prejdite do umiestnenia, z ktorého ste si stiahli súbor ISO do počítača, a kliknite OTVORENÉ.

                                                                                                                                                  6. Kliknite Áno akceptujte varovanie o operácii nahrávania/sťahovania a zatvorte dialógové okno úložiska údajov.

                                                                                                                                                  2

                                                                                                                                                  Pripojte súbor ISO:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  2. Kliknite OK akceptujete varovanie s obmedzenými možnosťami úprav.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO úložiska údajov a prejdite do umiestnenia, kam ste nahrali konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojené a Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a reštartujte virtuálny počítač.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak to vyžaduje vaša politika IT, môžete voliteľne odpojiť súbor ISO po tom, čo všetky vaše uzly prevezmú zmeny konfigurácie. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje server proxy, použite tento postup na určenie typu servera proxy, s ktorým sa chcete integrovať Hybridná bezpečnosť dát. Ak si vyberiete transparentný kontrolný proxy server alebo explicitný proxy server HTTPS, môžete použiť rozhranie uzla na nahranie a inštaláciu koreňového certifikátu. Môžete tiež skontrolovať pripojenie proxy z rozhrania a vyriešiť prípadné problémy.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  1

                                                                                                                                                  Zadajte adresu URL nastavenia uzla HDS https://[HDS Node IP or FQDN]/setup vo webovom prehliadači zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Trust Store a proxya potom vyberte možnosť:

                                                                                                                                                  • Žiadny proxy– Predvolená možnosť pred integráciou servera proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný nekontrolujúci zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný kontrolný zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera. Na serveri nie sú potrebné žiadne zmeny konfigurácie HTTPS Hybridná bezpečnosť dát nasadenie, uzly HDS však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).
                                                                                                                                                  • Explicitný proxy—Pri explicitnom serveri proxy poviete klientovi (uzly HDS), ktorý server proxy má použiť, a táto možnosť podporuje niekoľko typov autentifikácie. Po výbere tejto možnosti musíte zadať nasledujúce informácie:
                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol— Vyberte si http (prezerá a kontroluje všetky požiadavky, ktoré sú prijaté od klienta) resp https (poskytuje kanál pre server a klient prijíma a overuje certifikát servera). Vyberte možnosť podľa toho, čo váš proxy server podporuje.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné iba pre servery proxy HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                  Postupujte podľa nasledujúcich krokov pre transparentný kontrolný proxy server, explicitný proxy server HTTP so základným overením alebo explicitný proxy HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Kliknite Nahrajte koreňový certifikát alebo certifikát koncovej entitya potom prejdite na výber koreňového certifikátu pre server proxy.

                                                                                                                                                  Certifikát je nahraný, ale ešte nie je nainštalovaný, pretože na inštaláciu certifikátu musíte reštartovať uzol. Kliknutím na šípku v tvare šípky vedľa názvu vydavateľa certifikátu získate ďalšie podrobnosti alebo kliknite Odstrániť ak ste urobili chybu a chcete súbor znova nahrať.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy na testovanie sieťového pripojenia medzi uzlom a proxy.

                                                                                                                                                  Ak test pripojenia zlyhá, zobrazí sa chybové hlásenie, ktoré uvádza dôvod a spôsob, ako môžete problém vyriešiť.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS. Tento stav sa očakáva v mnohých explicitných konfiguráciách proxy. Môžete pokračovať v nastavovaní a uzol bude fungovať v režime zablokovaného externého rozlíšenia DNS. Ak si myslíte, že ide o chybu, vykonajte tieto kroky a potom uvidíte Vypnite režim zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  5

                                                                                                                                                  Po úspešnom teste pripojenia zapnite prepínač v prípade explicitného servera proxy nastaveného iba na https Smerujte všetky požiadavky https z tohto uzla na port 443/444 cez explicitný proxy server. Toto nastavenie sa prejaví po 15 sekundách.

                                                                                                                                                  6

                                                                                                                                                  Kliknite Nainštalujte všetky certifikáty do dôveryhodného úložiska (zobrazí sa pri explicitnom HTTPS proxy alebo transparentnom kontrolnom proxy serveri) alebo Reštartovať (zobrazí sa pri explicitnom serveri proxy HTTP), prečítajte si výzvu a potom kliknite Inštalácia ak si pripravený.

                                                                                                                                                  Uzol sa reštartuje v priebehu niekoľkých minút.

                                                                                                                                                  7

                                                                                                                                                  Po reštartovaní uzla sa v prípade potreby znova prihláste a potom otvorte Prehľad stránku a skontrolujte kontroly pripojenia, aby ste sa uistili, že sú všetky v zelenom stave.

                                                                                                                                                  Kontrola pripojenia proxy testuje iba subdoménu webex.com. Ak sa vyskytnú problémy s pripojením, bežným problémom je, že niektoré z cloudových domén uvedených v pokynoch na inštaláciu sú na serveri proxy blokované.

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Táto úloha preberá všeobecný uzol, ktorý ste vytvorili v Nastavte virtuálny počítač Hybrid Data Security, zaregistruje uzol do cloudu Webex a zmení ho na uzol Hybrid Data Security.

                                                                                                                                                  Keď zaregistrujete svoj prvý uzol, vytvoríte klaster, ku ktorému je uzol priradený. Klaster obsahuje jeden alebo viac uzlov nasadených na zabezpečenie redundancie.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  V ponuke na ľavej strane obrazovky vyberte položku Služby.

                                                                                                                                                  3

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite Nastaviť.

                                                                                                                                                  Zobrazí sa stránka Register Hybrid Data Security Node.
                                                                                                                                                  4

                                                                                                                                                  Vyberte Áno na označenie, že ste uzol nastavili a ste pripravení ho zaregistrovať, a potom kliknite Ďalšie.

                                                                                                                                                  5

                                                                                                                                                  Do prvého poľa zadajte názov klastra, ku ktorému chcete priradiť váš uzol Hybrid Data Security.

                                                                                                                                                  Odporúčame pomenovať klaster podľa toho, kde sa geograficky nachádzajú uzly klastra. Príklady: „San Francisco“ alebo „New York“ alebo „Dallas“

                                                                                                                                                  6

                                                                                                                                                  Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                  Táto adresa IP alebo FQDN by sa mala zhodovať s adresou IP alebo názvom hostiteľa a doménou, ktorú ste použili Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  Zobrazí sa správa, že môžete zaregistrovať svoj uzol do Webexu.
                                                                                                                                                  7

                                                                                                                                                  Kliknite Prejdite na Node.

                                                                                                                                                  8

                                                                                                                                                  Kliknite ďalej vo varovnej správe.

                                                                                                                                                  Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že svojej organizácii Webex chcete udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  9

                                                                                                                                                  Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                  Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  10

                                                                                                                                                  Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Na Hybridná bezpečnosť dát sa zobrazí nový klaster obsahujúci uzol, ktorý ste zaregistrovali. Uzol si automaticky stiahne najnovší softvér z cloudu.

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Ak chcete do svojho klastra pridať ďalšie uzly, jednoducho vytvoríte ďalšie virtuálne počítače a pripojíte rovnaký konfiguračný súbor ISO a potom uzol zaregistrujete. Odporúčame, aby ste mali aspoň 3 uzly.

                                                                                                                                                   

                                                                                                                                                  V súčasnosti sú záložné virtuálne počítače, ktoré ste vytvorili Vyplňte Predpoklady pre hybridnú bezpečnosť údajov sú pohotovostní hostitelia, ktorí sa používajú iba v prípade obnovy po havárii; dovtedy nie sú registrovaní v systéme. Podrobnosti nájdete v časti Obnova po havárii pomocou pohotovostného dátového centra.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Vytvorte nový virtuálny počítač z OVA zopakovaním krokov Nainštalujte HDS Host OVA.

                                                                                                                                                  2

                                                                                                                                                  Nastavte počiatočnú konfiguráciu na novom VM zopakovaním krokov v Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Na novom virtuálnom počítači zopakujte kroky v Nahrajte a pripojte ISO konfiguráciu HDS.

                                                                                                                                                  4

                                                                                                                                                  Ak nastavujete server proxy pre svoje nasadenie, zopakujte kroky v Nakonfigurujte uzol HDS na integráciu proxy podľa potreby pre nový uzol.

                                                                                                                                                  5

                                                                                                                                                  Zaregistrujte uzol.

                                                                                                                                                  1. In https://admin.webex.com, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2. V časti Hybridné služby nájdite kartu Hybrid Data Security a kliknite na ňu Zdroje.

                                                                                                                                                    Zobrazí sa stránka Hybrid Data Security Resources.
                                                                                                                                                  3. Kliknite Pridať zdroj.

                                                                                                                                                  4. V prvom poli vyberte názov vášho existujúceho klastra.

                                                                                                                                                  5. Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                    Zobrazí sa správa oznamujúca, že svoj uzol môžete zaregistrovať do cloudu Webex.
                                                                                                                                                  6. Kliknite Prejdite na Node.

                                                                                                                                                    Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že chcete svojej organizácii udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  7. Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                    Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  8. Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Váš uzol je zaregistrovaný. Upozorňujeme, že kým nezačnete skúšobnú verziu, vaše uzly generujú alarm, ktorý oznamuje, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)
                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby

                                                                                                                                                  Skúšobný postup produkčných úloh

                                                                                                                                                  Po nastavení klastra Hybrid Data Security môžete spustiť pilotný test, pridať doň používateľov a začať ho používať na testovanie a overovanie vášho nasadenia v rámci prípravy na prechod do produkcie.

                                                                                                                                                  1

                                                                                                                                                  V prípade potreby synchronizujte HdsTrialGroup skupinový objekt.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu pred spustením skúšobnej verzie. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Začnite skúšobnú verziu. Kým nevykonáte túto úlohu, vaše uzly generujú alarm, ktorý oznamuje, že služba ešte nie je aktivovaná.

                                                                                                                                                  3

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Skontrolujte, či kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Skontrolujte stav a nastavte e-mailové upozornenia na budíky.

                                                                                                                                                  5

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  6

                                                                                                                                                  Dokončite skúšobnú fázu jedným z nasledujúcich krokov:

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu predtým, ako začnete skúšobnú verziu pre vašu organizáciu. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Spustiť skúšku.

                                                                                                                                                  Stav služby sa zmení na skúšobný režim.
                                                                                                                                                  4

                                                                                                                                                  Kliknite Pridať používateľov a zadajte e-mailovú adresu jedného alebo viacerých používateľov na pilotné používanie vašich uzlov Hybrid Data Security na šifrovacie a indexovacie služby.

                                                                                                                                                  (Ak vaša organizácia používa synchronizáciu adresárov, na správu skúšobnej skupiny použite službu Active Directory, HdsTrialGroup.)

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Tento postup použite na testovanie scenárov šifrovania Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nastavte nasadenie Hybrid Data Security.

                                                                                                                                                  • Aktivujte skúšobnú verziu a pridajte niekoľko používateľov skúšobnej verzie.

                                                                                                                                                  • Uistite sa, že máte prístup k syslog, aby ste si overili, že kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Prihláste sa do aplikácie Webex ako jeden z pilotných používateľov a potom vytvorte priestor a pozvite aspoň jedného pilotného používateľa a jedného nepilotného používateľa.


                                                                                                                                                   

                                                                                                                                                  Ak deaktivujete nasadenie Hybrid Data Security, obsah v priestoroch, ktoré vytvoria pilotní používatelia, už nebude prístupný po výmene kópií šifrovacích kľúčov uložených vo vyrovnávacej pamäti klienta.

                                                                                                                                                  2

                                                                                                                                                  Posielajte správy do nového priestoru.

                                                                                                                                                  3

                                                                                                                                                  Skontrolujte výstup syslog, aby ste si overili, že požiadavky na kľúče prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1. Ak chcete skontrolovať, či používateľ najprv vytvoril zabezpečený kanál pre KMS, filtrujte kms.data.method=create a kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam, ako je tento (identifikátory skrátené kvôli čitateľnosti):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Ak chcete skontrolovať používateľa, ktorý požaduje existujúci kľúč z KMS, filtrujte kms.data.method=retrieve a kms.data.type=KEY:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Ak chcete skontrolovať používateľa požadujúceho vytvorenie nového kľúča KMS, filtrujte kms.data.method=create a kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Ak chcete pri vytváraní priestoru alebo iného chráneného zdroja skontrolovať používateľa požadujúceho vytvorenie nového objektu KMS (KRO), filtrujte na kms.data.method=create a kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Indikátor stavu v Control Hub vám ukáže, či je s nasadením Hybrid Data Security všetko v poriadku. Ak chcete dostávať proaktívnejšie upozornenia, prihláste sa na odber e-mailových upozornení. Budete upozornení, keď sa vyskytnú alarmy alebo aktualizácie softvéru ovplyvňujúce službu.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite nastavenie.

                                                                                                                                                  Zobrazí sa stránka Hybrid Data Security Settings.
                                                                                                                                                  3

                                                                                                                                                  V časti E-mailové upozornenia zadajte jednu alebo viac e-mailových adries oddelených čiarkami a stlačte Zadajte.

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  Po aktivácii skúšobnej verzie a pridaní počiatočnej skupiny používateľov skúšobnej verzie môžete členov skúšobnej verzie kedykoľvek pridať alebo odstrániť, kým je skúšobná verzia aktívna.

                                                                                                                                                  Ak odstránite používateľa zo skúšobnej verzie, klient tohto používateľa bude namiesto vášho KMS požadovať kľúče a vytvorenie kľúča z cloudového KMS. Ak klient potrebuje kľúč, ktorý je uložený vo vašom KMS, cloudový KMS ho načíta v mene používateľa.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, použite Active Directory (namiesto tohto postupu) na správu skúšobnej skupiny, HdsTrialGroup; členov skupiny môžete zobraziť v Control Hub, ale nemôžete ich pridávať ani odstraňovať.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Skúšobný režim v oblasti Stav služby kliknite na Pridať používateľov, alebo kliknite zobraziť a upraviť na odstránenie používateľov zo skúšobnej verzie.

                                                                                                                                                  4

                                                                                                                                                  Zadajte e-mailovú adresu jedného alebo viacerých používateľov, ktorých chcete pridať, alebo kliknite na X pomocou ID používateľa na odstránenie používateľa zo skúšobnej verzie. Potom kliknite Uložiť.

                                                                                                                                                  Presuňte sa zo skúšobnej do produkčnej verzie

                                                                                                                                                  Keď ste spokojní, že vaše nasadenie funguje dobre pre skúšobných používateľov, môžete prejsť do produkcie. Keď prejdete do produkcie, všetci používatelia v organizácii budú používať vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Z produkcie sa nemôžete vrátiť späť do skúšobného režimu, pokiaľ službu nedeaktivujete ako súčasť obnovy po havárii. Opätovná aktivácia služby vyžaduje nastavenie novej skúšobnej verzie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Presunúť do výroby.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete presunúť všetkých svojich používateľov do produkcie.

                                                                                                                                                  Ukončite skúšobnú verziu bez presunu do výroby

                                                                                                                                                  Ak sa počas skúšobného obdobia rozhodnete nepokračovať v nasadení Hybrid Data Security, môžete deaktivovať Hybrid Data Security, čím sa skúšobná verzia ukončí a skúšobní používatelia sa presunú späť ku cloudovým službám zabezpečenia údajov. Používatelia skúšobnej verzie stratia prístup k údajom, ktoré boli počas skúšobnej verzie zašifrované.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Deaktivovať kliknite na Deaktivovať.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete službu deaktivovať a ukončiť skúšobnú verziu.

                                                                                                                                                  Spravujte svoje nasadenie HDS

                                                                                                                                                  Spravujte nasadenie HDS

                                                                                                                                                  Pomocou tu popísaných úloh spravujte svoje nasadenie Hybrid Data Security.

                                                                                                                                                  Nastavte plán aktualizácie klastra

                                                                                                                                                  Aktualizácie softvéru pre Hybrid Data Security sa vykonávajú automaticky na úrovni klastra, čo zaisťuje, že všetky uzly vždy bežia s rovnakou verziou softvéru. Inovácie sa vykonávajú podľa plánu aktualizácie pre klaster. Keď bude k dispozícii aktualizácia softvéru, máte možnosť manuálne aktualizovať klaster pred plánovaným časom aktualizácie. Môžete nastaviť konkrétny plán inovácie alebo použiť predvolený plán na 3:00 denne v USA: Amerika/Los Angeles. V prípade potreby môžete tiež odložiť nadchádzajúcu inováciu.

                                                                                                                                                  Ak chcete nastaviť plán aktualizácie:

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Na stránke Prehľad v časti Hybridné služby vyberte Hybridná bezpečnosť dát.

                                                                                                                                                  3

                                                                                                                                                  Na stránke Hybrid Data Security Resources vyberte klaster.

                                                                                                                                                  4

                                                                                                                                                  Na paneli Prehľad vpravo v časti Nastavenia klastra vyberte názov klastra.

                                                                                                                                                  5

                                                                                                                                                  Na stránke Nastavenia v časti Aktualizácia vyberte čas a časové pásmo pre plán inovácie.

                                                                                                                                                  Poznámka: Pod časovým pásmom sa zobrazí dátum a čas ďalšej dostupnej aktualizácie. Kliknutím na tlačidlo môžete v prípade potreby odložiť aktualizáciu na nasledujúci deň Odložiť.

                                                                                                                                                  Zmeňte konfiguráciu uzla

                                                                                                                                                  Príležitostne možno budete musieť zmeniť konfiguráciu uzla Hybrid Data Security z nasledujúcich dôvodov:
                                                                                                                                                  • Zmena x.509 certifikátov z dôvodu uplynutia platnosti alebo iných dôvodov.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme zmenu názvu domény CN certifikátu. Doména sa musí zhodovať s pôvodnou doménou použitou na registráciu klastra.

                                                                                                                                                  • Aktualizácia nastavení databázy pre zmenu na repliku databázy PostgreSQL alebo Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server alebo opačným spôsobom. Ak chcete zmeniť prostredie databázy, spustite nové nasadenie Hybrid Data Security.

                                                                                                                                                  • Vytvorenie novej konfigurácie na prípravu nového dátového centra.

                                                                                                                                                  Z bezpečnostných dôvodov používa Hybrid Data Security heslá servisných účtov, ktoré majú životnosť deväť mesiacov. Keď nástroj HDS Setup vygeneruje tieto heslá, nasadíte ich do každého z vašich uzlov HDS v konfiguračnom súbore ISO. Keď sa blíži koniec platnosti hesiel vašej organizácie, dostanete od tímu Webex upozornenie na resetovanie hesla pre váš počítačový účet. (E-mail obsahuje text „Na aktualizáciu hesla použite rozhranie API strojového účtu.“) Ak platnosť vašich hesiel ešte nevypršala, nástroj vám ponúka dve možnosti:

                                                                                                                                                  • Mäkký reset—Staré aj nové heslo fungujú až 10 dní. Toto obdobie použite na postupnú výmenu súboru ISO na uzloch.

                                                                                                                                                  • Tvrdý reštart—Staré heslá okamžite prestanú fungovať.

                                                                                                                                                  Ak platnosť vašich hesiel vyprší bez resetovania, ovplyvní to vašu službu HDS, čo si vyžaduje okamžitý tvrdý reset a nahradenie súboru ISO na všetkých uzloch.

                                                                                                                                                  Tento postup použite na vygenerovanie nového konfiguračného súboru ISO a jeho použitie vo vašom klastri.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak je nástroj HDS Setup vo vašom prostredí spustený za serverom proxy, pri spúšťaní kontajnera Docker zadajte nastavenia proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 1.e. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Na vygenerovanie novej konfigurácie potrebujete kópiu aktuálneho konfiguračného súboru ISO. ISO obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. ISO potrebujete, keď robíte zmeny v konfigurácii vrátane poverení databázy, aktualizácií certifikátov alebo zmien v politike autorizácie.

                                                                                                                                                  1

                                                                                                                                                  Pomocou Docker na lokálnom počítači spustite nástroj HDS Setup Tool.

                                                                                                                                                  1. Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2. Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Uistite sa, že ste na tento postup použili najnovší nástroj Setup. Verzie nástroja vytvorené pred 22. februárom 2018 neobsahujú obrazovky na obnovenie hesla.

                                                                                                                                                  5. Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    • V bežných prostrediach bez servera proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V prostrediach FedRAMP bez proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6. Použite prehliadač na pripojenie k localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  7. Po zobrazení výzvy zadajte svoje prihlasovacie údaje zákazníka Control Hub a potom kliknite súhlasiť pokračovať.

                                                                                                                                                  8. Importujte aktuálny konfiguračný súbor ISO.

                                                                                                                                                  9. Postupujte podľa pokynov na dokončenie nástroja a stiahnite si aktualizovaný súbor.

                                                                                                                                                    Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  10. Vytvorte záložnú kópiu aktualizovaného súboru v inom údajovom centre.

                                                                                                                                                  2

                                                                                                                                                  Ak máte spustený iba jeden uzol HDS, vytvorte nový VM uzla Hybrid Data Security a zaregistrujte ho pomocou nového konfiguračného súboru ISO. Podrobnejšie pokyny nájdete v časti Vytvorte a zaregistrujte viac uzlov.

                                                                                                                                                  1. Nainštalujte hostiteľský OVA HDS.

                                                                                                                                                  2. Nastavte HDS VM.

                                                                                                                                                  3. Pripojte aktualizovaný konfiguračný súbor.

                                                                                                                                                  4. Zaregistrujte nový uzol v Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pre existujúce uzly HDS, na ktorých je spustený starší konfiguračný súbor, pripojte súbor ISO. Postupne vykonajte nasledujúci postup na každom uzle, pričom aktualizujte každý uzol pred vypnutím ďalšieho uzla:

                                                                                                                                                  1. Vypnite virtuálny stroj.

                                                                                                                                                  2. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO a prejdite do umiestnenia, kam ste stiahli nový konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a zapnite virtuálny počítač.

                                                                                                                                                  4

                                                                                                                                                  Opakujte krok 3, aby ste nahradili konfiguráciu na každom zostávajúcom uzle, na ktorom je spustená stará konfigurácia.

                                                                                                                                                  Vypnite režim zablokovaného externého rozlíšenia DNS

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. Ak server DNS uzla nedokáže rozlíšiť verejné názvy DNS, uzol automaticky prejde do režimu zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  Ak vaše uzly dokážu rozlíšiť verejné názvy DNS prostredníctvom interných serverov DNS, môžete tento režim vypnúť opätovným spustením testu pripojenia proxy na každom uzle.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Uistite sa, že vaše interné servery DNS dokážu rozlíšiť verejné názvy DNS a že vaše uzly s nimi môžu komunikovať.
                                                                                                                                                  1

                                                                                                                                                  Vo webovom prehliadači otvorte rozhranie uzla Hybrid Data Security (IP adresa/nastavenie, napr. https://192.0.2.0/setup), zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Prehľad (predvolená stránka).

                                                                                                                                                  Keď je povolené, Zablokované externé rozlíšenie DNS je nastavený na Áno.

                                                                                                                                                  3

                                                                                                                                                  Choďte na Trust Store a proxy stránku.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS a zostane v tomto režime. V opačnom prípade po reštartovaní uzla a návrate do Prehľad na stránke Blocked External DNS Resolution by mala byť nastavená na no.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zopakujte test pripojenia proxy na každom uzle v klastri Hybrid Data Security.

                                                                                                                                                  Odstráňte uzol

                                                                                                                                                  Tento postup použite na odstránenie uzla Hybrid Data Security z cloudu Webex. Po odstránení uzla z klastra odstráňte virtuálny počítač, aby ste zabránili ďalšiemu prístupu k vašim bezpečnostným údajom.
                                                                                                                                                  1

                                                                                                                                                  Pomocou klienta VMware vSphere vo svojom počítači sa prihláste do virtuálneho hostiteľa ESXi a vypnite virtuálny počítač.

                                                                                                                                                  2

                                                                                                                                                  Odstráňte uzol:

                                                                                                                                                  1. Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2. Na karte Hybrid Data Security kliknite na Zobraziť všetko zobrazíte stránku Hybrid Data Security Resources.

                                                                                                                                                  3. Vyberte svoj klaster, aby sa zobrazil jeho panel Prehľad.

                                                                                                                                                  4. Kliknite Otvorte zoznam uzlov.

                                                                                                                                                  5. Na karte Uzly vyberte uzol, ktorý chcete odstrániť.

                                                                                                                                                  6. Kliknite Akcie > Zrušte registráciu uzla.

                                                                                                                                                  3

                                                                                                                                                  V klientovi vSphere odstráňte VM. (Na ľavom navigačnom paneli kliknite pravým tlačidlom myši na VM a kliknite na Odstrániť.)

                                                                                                                                                  Ak nevymažete VM, nezabudnite odpojiť konfiguračný súbor ISO. Bez súboru ISO nemôžete použiť VM na prístup k bezpečnostným údajom.

                                                                                                                                                  Obnova po havárii pomocou pohotovostného dátového centra

                                                                                                                                                  Najdôležitejšou službou, ktorú váš klaster Hybrid Data Security poskytuje, je vytváranie a ukladanie kľúčov používaných na šifrovanie správ a iného obsahu uloženého v cloude Webex. Pre každého používateľa v rámci organizácie, ktorý je priradený k Hybrid Data Security, sú do klastra smerované nové požiadavky na vytvorenie kľúča. Klaster je tiež zodpovedný za vrátenie kľúčov, ktoré vytvoril, všetkým používateľom oprávneným na ich získanie, napríklad členom konverzačného priestoru.

                                                                                                                                                  Pretože klaster vykonáva kritickú funkciu poskytovania týchto kľúčov, je nevyhnutné, aby klaster zostal spustený a aby boli udržiavané správne zálohy. Strata databázy Hybrid Data Security alebo konfigurácie ISO použitej pre schému bude mať za následok NENÁVRATNÚ STRATU zákazníckeho obsahu. Aby sa predišlo takejto strate, sú povinné nasledujúce postupy:

                                                                                                                                                  Ak havária spôsobí, že nasadenie HDS v primárnom dátovom centre sa stane nedostupným, podľa tohto postupu manuálne prepnite na pohotovostné dátové centrum.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie alebo odstráňte passiveMode konfiguráciu, aby bol uzol aktívny. Keď je toto nakonfigurované, uzol môže spracovať prevádzku.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte výstup syslog a overte, či uzly pohotovostného dátového centra nie sú v pasívnom režime. V syslogoch by sa nemalo objaviť „KMS nakonfigurované v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak sa po prepnutí pri zlyhaní opäť aktivuje primárne dátové centrum, uveďte pohotovostné dátové centrum opäť do pasívneho režimu podľa krokov popísaných v časti Nastavte pohotovostné dátové centrum pre obnovu po havárii.

                                                                                                                                                  (Voliteľné) Odpojte ISO po konfigurácii HDS

                                                                                                                                                  Štandardná konfigurácia HDS beží s namontovaným ISO. Niektorí zákazníci však uprednostňujú neponechať súbory ISO nepretržite pripojené. Súbor ISO môžete odpojiť potom, čo všetky uzly HDS prevezmú novú konfiguráciu.

                                                                                                                                                  Na vykonanie zmien v konfigurácii stále používate súbory ISO. Keď vytvoríte nový ISO alebo aktualizujete ISO pomocou nástroja Setup Tool, musíte aktualizovaný ISO pripojiť na všetky vaše uzly HDS. Keď všetky vaše uzly zachytia zmeny konfigurácie, môžete ISO znova odpojiť pomocou tohto postupu.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Inovujte všetky svoje uzly HDS na verziu 2021.01.22.4720 alebo novšiu.

                                                                                                                                                  1

                                                                                                                                                  Vypnite jeden z uzlov HDS.

                                                                                                                                                  2

                                                                                                                                                  V serverovom zariadení vCenter vyberte uzol HDS.

                                                                                                                                                  3

                                                                                                                                                  Vyberte si Upraviť nastavenia > CD/DVD mechanika a zrušte začiarknutie Súbor ISO úložiska údajov.

                                                                                                                                                  4

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 20 minút nie sú žiadne alarmy.

                                                                                                                                                  5

                                                                                                                                                  Postup opakujte pre každý uzol HDS.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Zobraziť upozornenia a riešenie problémov

                                                                                                                                                  Nasadenie Hybrid Data Security sa považuje za nedostupné, ak sú všetky uzly v klastri nedostupné alebo klaster pracuje tak pomaly, že si vyžaduje časový limit. Ak používatelia nemôžu dosiahnuť váš klaster Hybrid Data Security, zaznamenajú nasledujúce príznaky:

                                                                                                                                                  • Nie je možné vytvoriť nové medzery (nemožno vytvoriť nové kľúče)

                                                                                                                                                  • Správy a názvy priestorov sa nepodarilo dešifrovať pre:

                                                                                                                                                    • Noví používatelia pridaní do priestoru (nemožno načítať kľúče)

                                                                                                                                                    • Existujúci používatelia v priestore používajúci nového klienta (nemožno načítať kľúče)

                                                                                                                                                  • Existujúci používatelia v priestore budú naďalej úspešne fungovať, pokiaľ budú mať ich klienti vyrovnávaciu pamäť šifrovacích kľúčov

                                                                                                                                                  Je dôležité, aby ste správne monitorovali svoj klaster Hybrid Data Security a okamžite riešili všetky výstrahy, aby ste predišli prerušeniu služby.

                                                                                                                                                  Upozornenia

                                                                                                                                                  Ak sa vyskytne problém s nastavením Hybrid Data Security, Control Hub zobrazí upozornenia správcovi organizácie a odošle e-maily na nakonfigurovanú e-mailovú adresu. Výstrahy pokrývajú mnoho bežných scenárov.

                                                                                                                                                  Stôl 1. Bežné problémy a kroky na ich vyriešenie

                                                                                                                                                  Upozornenie

                                                                                                                                                  Akcia

                                                                                                                                                  Zlyhanie prístupu k lokálnej databáze.

                                                                                                                                                  Skontrolujte chyby databázy alebo problémy s lokálnou sieťou.

                                                                                                                                                  Zlyhanie pripojenia k lokálnej databáze.

                                                                                                                                                  Skontrolujte, či je databázový server dostupný a či boli v konfigurácii uzla použité správne poverenia servisného účtu.

                                                                                                                                                  Zlyhanie prístupu k cloudovej službe.

                                                                                                                                                  Skontrolujte, či majú uzly prístup k serverom Webex, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  Obnovuje sa registrácia cloudovej služby.

                                                                                                                                                  Registrácia do cloudových služieb bola zrušená. Prebieha obnova registrácie.

                                                                                                                                                  Registrácia cloudovej služby bola zrušená.

                                                                                                                                                  Registrácia do cloudových služieb bola ukončená. Služba sa vypína.

                                                                                                                                                  Služba ešte nie je aktivovaná.

                                                                                                                                                  Aktivujte skúšobnú verziu alebo dokončite presun skúšky do produkcie.

                                                                                                                                                  Nakonfigurovaná doména sa nezhoduje s certifikátom servera.

                                                                                                                                                  Uistite sa, že váš certifikát servera sa zhoduje s nakonfigurovanou doménou aktivácie služby.

                                                                                                                                                  Najpravdepodobnejšou príčinou je, že certifikát CN bol nedávno zmenený a teraz sa líši od CN, ktorý bol použitý počas počiatočného nastavenia.

                                                                                                                                                  Nepodarilo sa overiť v cloudových službách.

                                                                                                                                                  Skontrolujte presnosť a možné vypršanie platnosti poverení servisného účtu.

                                                                                                                                                  Nepodarilo sa otvoriť súbor lokálneho úložiska kľúčov.

                                                                                                                                                  Skontrolujte integritu a presnosť hesla v lokálnom súbore skladu kľúčov.

                                                                                                                                                  Certifikát lokálneho servera je neplatný.

                                                                                                                                                  Skontrolujte dátum vypršania platnosti certifikátu servera a potvrďte, že bol vydaný dôveryhodnou certifikačnou autoritou.

                                                                                                                                                  Nie je možné uverejniť metriky.

                                                                                                                                                  Skontrolujte prístup k lokálnej sieti k externým cloudovým službám.

                                                                                                                                                  Adresár /media/configdrive/hds neexistuje.

                                                                                                                                                  Skontrolujte konfiguráciu pripojenia ISO na virtuálnom hostiteľovi. Overte, či súbor ISO existuje, či je nakonfigurovaný na pripojenie pri reštarte a či sa úspešne pripojí.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Pri riešení problémov s Hybrid Data Security použite nasledujúce všeobecné pokyny.
                                                                                                                                                  1

                                                                                                                                                  Skontrolujte si v Control Hub všetky upozornenia a opravte všetky položky, ktoré tam nájdete.

                                                                                                                                                  2

                                                                                                                                                  Skontrolujte výstup servera syslog pre aktivitu z nasadenia Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Kontakt Podpora Cisco.

                                                                                                                                                  Ďalšie poznámky

                                                                                                                                                  Známe problémy s hybridnou bezpečnosťou dát

                                                                                                                                                  • Ak vypnete svoj klaster Hybrid Data Security (odstránením v Control Hub alebo vypnutím všetkých uzlov), stratíte svoj konfiguračný súbor ISO alebo stratíte prístup k databáze úložiska kľúčov, používatelia vašej aplikácie Webex App už nebudú môcť používať priestory pod svojimi ľuďmi. zoznam, ktorý bol vytvorený pomocou kľúčov z vášho KMS. Platí to pre skúšobné aj produkčné nasadenia. V súčasnosti nemáme riešenie ani opravu tohto problému a žiadame vás, aby ste nevypínali svoje služby HDS, keď budú spracovávať aktívne používateľské účty.

                                                                                                                                                  • Klient, ktorý má existujúce pripojenie ECDH ku KMS, udržiava toto pripojenie určitý čas (pravdepodobne jednu hodinu). Keď sa používateľ stane členom skúšobnej verzie Hybrid Data Security, klient používateľa naďalej používa existujúce pripojenie ECDH, kým nevyprší časový limit. Prípadne sa používateľ môže odhlásiť a znova prihlásiť do aplikácie Webex App, aby aktualizoval umiestnenie, ktoré aplikácia kontaktuje pre šifrovacie kľúče.

                                                                                                                                                    Rovnaké správanie nastane, keď presuniete skúšobnú verziu do produkcie organizácie. Všetci neskúšobní používatelia s existujúcimi pripojeniami ECDH k predchádzajúcim službám zabezpečenia údajov budú tieto služby naďalej používať, kým sa znovu nedohodne pripojenie ECDH (prostredníctvom časového limitu alebo odhlásením a opätovným prihlásením).

                                                                                                                                                  Na vygenerovanie súboru PKCS12 použite OpenSSL

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • OpenSSL je jeden nástroj, ktorý možno použiť na vytvorenie súboru PKCS12 v správnom formáte na načítanie v nástroji HDS Setup Tool. Existujú aj iné spôsoby, ako to urobiť, a my nepodporujeme ani nepresadzujeme jeden spôsob oproti druhému.

                                                                                                                                                  • Ak sa rozhodnete použiť OpenSSL, poskytujeme tento postup ako návod, ktorý vám pomôže vytvoriť súbor, ktorý spĺňa požiadavky certifikátu X.509 v Požiadavky na certifikát X.509. Než budete pokračovať, pochopte tieto požiadavky.

                                                                                                                                                  • Nainštalujte OpenSSL v podporovanom prostredí. Pozri https://www.openssl.org pre softvér a dokumentáciu.

                                                                                                                                                  • Vytvorte súkromný kľúč.

                                                                                                                                                  • Tento postup začnite, keď dostanete certifikát servera od certifikačnej autority (CA).

                                                                                                                                                  1

                                                                                                                                                  Keď dostanete certifikát servera od vašej CA, uložte ho ako hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Zobrazte certifikát ako text a overte podrobnosti.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Pomocou textového editora vytvorte súbor zväzku certifikátov s názvom hdsnode-bundle.pem. Súbor balíka musí obsahovať certifikát servera, akékoľvek sprostredkujúce certifikáty CA a certifikáty koreňovej CA vo formáte nižšie:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Vytvorte súbor .p12 s popisným názvom kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Skontrolujte podrobnosti certifikátu servera.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Vo výzve zadajte heslo na zašifrovanie súkromného kľúča, aby bol uvedený vo výstupe. Potom skontrolujte, či súkromný kľúč a prvý certifikát obsahujú riadky friendlyName: kms-private-key.

                                                                                                                                                    Príklad:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Návrat do Vyplňte Predpoklady pre hybridnú bezpečnosť údajov. Budete používať hdsnode.p12 súbor a heslo, ktoré ste preň nastavili Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Tieto súbory môžete znova použiť na vyžiadanie nového certifikátu, keď platnosť pôvodného certifikátu vyprší.

                                                                                                                                                  Prevádzka medzi uzlami HDS a cloudom

                                                                                                                                                  Odchádzajúca návštevnosť zberu metrík

                                                                                                                                                  Uzly Hybrid Data Security odosielajú určité metriky do cloudu Webex. Patria sem systémové metriky pre maximálnu haldu, využitú haldu, zaťaženie procesora a počet vlákien; metriky na synchrónnych a asynchrónnych vláknach; metriky výstrah zahŕňajúce prah šifrovacích pripojení, latenciu alebo dĺžku frontu požiadaviek; metriky na dátovom úložisku; a metriky šifrovaného pripojenia. Uzly posielajú zašifrovaný kľúčový materiál cez kanál mimo pásma (oddelený od požiadavky).

                                                                                                                                                  Prichádzajúca premávka

                                                                                                                                                  Uzly Hybrid Data Security prijímajú nasledujúce typy prichádzajúcej prevádzky z cloudu Webex:

                                                                                                                                                  • Šifrovacie požiadavky od klientov, ktoré sú smerované šifrovacou službou

                                                                                                                                                  • Aktualizácie softvéru uzla

                                                                                                                                                  Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát

                                                                                                                                                  Websocket sa nemôže pripojiť cez Squid Proxy

                                                                                                                                                  Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky ( wss:) pripojenia, ktoré vyžaduje Hybrid Data Security. Tieto časti poskytujú návod, ako nakonfigurovať rôzne verzie Squid na ignorovanie wss: prevádzky pre správne fungovanie služieb.

                                                                                                                                                  Kalmáre 4 a 5

                                                                                                                                                  Pridajte on_unsupported_protocol smernica k squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Kalmáre 3.5.27

                                                                                                                                                  Hybridnú bezpečnosť dát sme úspešne otestovali s nasledujúcimi pravidlami squid.conf. Tieto pravidlá sa môžu meniť, pretože vyvíjame funkcie a aktualizujeme cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Predslov

                                                                                                                                                  Nové a zmenené informácie

                                                                                                                                                  Dátum

                                                                                                                                                  Vykonané zmeny

                                                                                                                                                  20. októbra 2023

                                                                                                                                                  7. augusta 2023

                                                                                                                                                  23. mája 2023

                                                                                                                                                  6. decembra 2022

                                                                                                                                                  23. novembra 2022

                                                                                                                                                  13. októbra 2021

                                                                                                                                                  Pred inštaláciou uzlov HDS musí Docker Desktop spustiť inštalačný program. Pozri Požiadavky na plochu Docker.

                                                                                                                                                  24. júna 2021

                                                                                                                                                  Upozorňujeme, že súbor so súkromným kľúčom a CSR môžete znova použiť na vyžiadanie ďalšieho certifikátu. Pozri Na vygenerovanie súboru PKCS12 použite OpenSSL pre podrobnosti.

                                                                                                                                                  30. apríla 2021

                                                                                                                                                  Požiadavka VM na lokálny pevný disk sa zmenila na 30 GB. Pozri Požiadavky na virtuálny hostiteľ pre podrobnosti.

                                                                                                                                                  24. februára 2021

                                                                                                                                                  HDS Setup Tool teraz môže bežať za serverom proxy. Pozri Vytvorte ISO konfigurácie pre hostiteľov HDS pre podrobnosti.

                                                                                                                                                  2. februára 2021

                                                                                                                                                  HDS teraz môže bežať bez pripojeného súboru ISO. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  11. januára 2021

                                                                                                                                                  Pridané informácie o nástroji HDS Setup a proxy serveroch Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  13. októbra 2020

                                                                                                                                                  Aktualizované Stiahnite si inštalačné súbory.

                                                                                                                                                  8. októbra 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla s príkazmi pre prostredia FedRAMP.

                                                                                                                                                  14. augusta 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla so zmenami v procese prihlasovania.

                                                                                                                                                  5. augusta 2020

                                                                                                                                                  Aktualizované Otestujte svoje nasadenie hybridného zabezpečenia dát pre zmeny v protokolových správach.

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ na odstránenie maximálneho počtu hostiteľov.

                                                                                                                                                  16. júna 2020

                                                                                                                                                  Aktualizované Odstráňte uzol pre zmeny v používateľskom rozhraní Control Hub.

                                                                                                                                                  4. júna 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS pre zmeny v rozšírených nastaveniach, ktoré môžete nastaviť.

                                                                                                                                                  29. mája 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS ukázať, že TLS môžete použiť aj s databázami SQL Server, zmenami používateľského rozhrania a ďalšími vysvetleniami.

                                                                                                                                                  5. mája 2020

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ ukázať novú požiadavku ESXi 6.5.

                                                                                                                                                  21. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s novými hostiteľmi Americas CI.

                                                                                                                                                  1. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s informáciami o regionálnych hostiteľoch CI.

                                                                                                                                                  20. februára 2020Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s informáciami o novej voliteľnej obrazovke rozšírených nastavení v nástroji HDS Setup Tool.
                                                                                                                                                  4. februára 2020Aktualizované Požiadavky na proxy server.
                                                                                                                                                  16. decembra 2019Objasnená požiadavka, aby fungoval režim zablokovaného externého rozlíšenia DNS Požiadavky na proxy server.
                                                                                                                                                  19. novembra 2019

                                                                                                                                                  Pridané informácie o režime zablokovaného externého rozlíšenia DNS v nasledujúcich častiach:

                                                                                                                                                  8. novembra 2019

                                                                                                                                                  Teraz môžete konfigurovať sieťové nastavenia pre uzol počas nasadzovania OVA a nie neskôr.

                                                                                                                                                  Podľa toho aktualizovali nasledujúce sekcie:


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  6. septembra 2019

                                                                                                                                                  Pridaný SQL Server Standard do Požiadavky na databázový server.

                                                                                                                                                  29. augusta 2019Pridané Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát príloha s návodom na konfiguráciu proxy serverov Squid tak, aby ignorovali prevádzku websocket pre správnu činnosť.
                                                                                                                                                  20. augusta 2019

                                                                                                                                                  Pridané a aktualizované sekcie pokrývajúce podporu proxy pre komunikáciu uzlov Hybrid Data Security do cloudu Webex.

                                                                                                                                                  Ak chcete získať prístup len k obsahu podpory proxy pre existujúce nasadenie, pozrite si Podpora proxy pre hybridné zabezpečenie dát a Webex Video Mesh pomocný článok.

                                                                                                                                                  13. júna 2019Aktualizované Skúšobný postup produkčných úloh s pripomienkou na synchronizáciu HdsTrialGroup skupinový objekt pred spustením skúšobnej verzie, ak vaša organizácia používa synchronizáciu adresárov.
                                                                                                                                                  6. marca 2019
                                                                                                                                                  28. februára 2019
                                                                                                                                                  • Opravené množstvo miesta na lokálnom pevnom disku na server, ktoré by ste si mali vyčleniť pri príprave virtuálnych hostiteľov, ktorí sa stanú uzlami Hybrid Data Security, z 50 GB na 20 GB, aby odrážali veľkosť disku, ktorý vytvára OVA.

                                                                                                                                                  26. februára 2019
                                                                                                                                                  • Uzly Hybrid Data Security teraz podporujú šifrované pripojenia s databázovými servermi PostgreSQL a šifrované protokolované pripojenia k serveru syslog s podporou TLS. Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s návodom.

                                                                                                                                                  • Odstránili sa cieľové adresy URL z tabuľky „Požiadavky na internetové pripojenie pre virtuálne počítače s uzlom na zabezpečenie hybridných údajov“. Tabuľka teraz odkazuje na zoznam udržiavaný v tabuľke „Ďalšie adresy URL pre hybridné služby Webex Teams“ Sieťové požiadavky pre Webex Teams Services.

                                                                                                                                                  24. januára 2019

                                                                                                                                                  • Hybrid Data Security teraz podporuje Microsoft SQL Server ako databázu. SQL Server Always On (Always On Failover Clusters a Always On Availability Groups) je podporovaný ovládačmi JDBC, ktoré sa používajú v Hybrid Data Security. Pridaný obsah súvisiaci s nasadením so serverom SQL Server.


                                                                                                                                                     

                                                                                                                                                    Podpora Microsoft SQL Server je určená len pre nové nasadenia Hybrid Data Security. Momentálne nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server v existujúcom nasadení.

                                                                                                                                                  5. novembra 2018
                                                                                                                                                  19. októbra 2018

                                                                                                                                                  31. júla 2018

                                                                                                                                                  21. mája 2018

                                                                                                                                                  Zmenená terminológia, aby odrážala rebranding Cisco Spark:

                                                                                                                                                  • Cisco Spark Hybrid Data Security je teraz Hybrid Data Security.

                                                                                                                                                  • Aplikácia Cisco Spark je teraz aplikáciou Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud je teraz cloud Webex.

                                                                                                                                                  11. apríla 2018
                                                                                                                                                  22. februára 2018
                                                                                                                                                  15. február 2018
                                                                                                                                                  • V Požiadavky na certifikát X.509 Tabuľka špecifikovala, že certifikát nemôže byť zástupný certifikát a že KMS používa doménu CN, nie akúkoľvek doménu, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  18. januára 2018

                                                                                                                                                  2. novembra 2017

                                                                                                                                                  • Vyjasnená synchronizácia adresárov skupiny HdsTrialGroup.

                                                                                                                                                  • Opravené pokyny na nahrávanie konfiguračného súboru ISO na pripojenie do uzlov VM.

                                                                                                                                                  18. augusta 2017

                                                                                                                                                  Prvýkrát zverejnené

                                                                                                                                                  Začnite s hybridným zabezpečením dát

                                                                                                                                                  Prehľad zabezpečenia hybridných údajov

                                                                                                                                                  Od prvého dňa bola bezpečnosť údajov prvoradá pri navrhovaní Aplikácia Webex. Základným kameňom tohto zabezpečenia je komplexné šifrovanie obsahu, ktoré umožňuje Aplikácia Webex klientov interagujúcich so službou správy kľúčov (KMS). KMS je zodpovedný za vytváranie a správu kryptografických kľúčov, ktoré klienti používajú na dynamické šifrovanie a dešifrovanie správ a súborov.

                                                                                                                                                  Štandardne všetky Aplikácia Webex zákazníci získajú end-to-end šifrovanie s dynamickými kľúčmi uloženými v cloudovom KMS v oblasti bezpečnosti Cisco. Hybrid Data Security presúva KMS a ďalšie funkcie súvisiace so zabezpečením do vášho podnikového dátového centra, takže kľúče k vášmu šifrovanému obsahu nemá nikto okrem vás.

                                                                                                                                                  Architektúra bezpečnostnej sféry

                                                                                                                                                  Cloudová architektúra Webex oddeľuje rôzne typy služieb do samostatných oblastí alebo dôveryhodných domén, ako je znázornené nižšie.

                                                                                                                                                  Realms of Separation (bez Hybrid Data Security)

                                                                                                                                                  Aby sme lepšie porozumeli Hybrid Data Security, pozrime sa najprv na tento čistý cloud, kde Cisco poskytuje všetky funkcie vo svojich cloudových sférach. Služba identity, jediné miesto, kde môžu používatelia priamo korelovať so svojimi osobnými údajmi, ako je e-mailová adresa, je logicky a fyzicky oddelená od oblasti zabezpečenia v dátovom centre B. Obe sú zase oddelené od oblasti, kde je v konečnom dôsledku uložený šifrovaný obsah. , v dátovom centre C.

                                                                                                                                                  V tomto diagrame je klientom aplikácia Webex, ktorá beží na notebooku používateľa a je overená službou identity. Keď používateľ vytvorí správu na odoslanie do priestoru, vykonajú sa tieto kroky:

                                                                                                                                                  1. Klient vytvorí zabezpečené spojenie so službou správy kľúčov (KMS), potom požiada o kľúč na zašifrovanie správy. Zabezpečené pripojenie používa ECDH a KMS šifruje kľúč pomocou hlavného kľúča AES-256.

                                                                                                                                                  2. Správa je pred opustením klienta zašifrovaná. Klient ho odošle do indexovacej služby, ktorá vytvorí šifrované indexy vyhľadávania na pomoc pri budúcom vyhľadávaní obsahu.

                                                                                                                                                  3. Zašifrovaná správa sa odošle do služby súladu na kontrolu súladu.

                                                                                                                                                  4. Zašifrovaná správa je uložená v úložnej sfére.

                                                                                                                                                  Keď nasadíte Hybrid Data Security, presuniete funkcie bezpečnostnej sféry (KMS, indexovanie a súlad) do vášho lokálneho dátového centra. Ostatné cloudové služby, ktoré tvoria Webex (vrátane ukladania identity a obsahu), zostávajú v sférach spoločnosti Cisco.

                                                                                                                                                  Spolupráca s inými organizáciami

                                                                                                                                                  Používatelia vo vašej organizácii môžu pravidelne používať aplikáciu Webex na spoluprácu s externými účastníkmi v iných organizáciách. Keď jeden z vašich používateľov požaduje kľúč pre priestor, ktorý vlastní vaša organizácia (pretože ho vytvoril jeden z vašich používateľov), váš KMS odošle kľúč klientovi cez zabezpečený kanál ECDH. Keď však kľúč priestoru vlastní iná organizácia, váš KMS nasmeruje požiadavku do cloudu Webex cez samostatný kanál ECDH, aby získal kľúč z príslušného KMS, a potom vráti kľúč vášmu používateľovi na pôvodnom kanáli.

                                                                                                                                                  Služba KMS spustená v organizácii A overuje pripojenia ku KMS v iných organizáciách pomocou x.509 PKI certifikátov. Pozri Pripravte si prostredie podrobnosti o generovaní x.509 certifikátu na použitie s nasadením Hybrid Data Security.

                                                                                                                                                  Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov

                                                                                                                                                  Nasadenie Hybrid Data Security si vyžaduje značné nasadenie zákazníkov a uvedomenie si rizík, ktoré so sebou prináša vlastníctvo šifrovacích kľúčov.

                                                                                                                                                  Ak chcete nasadiť Hybrid Data Security, musíte poskytnúť:

                                                                                                                                                  Úplná strata buď konfiguračného ISO, ktoré ste vytvorili pre Hybrid Data Security, alebo databázy, ktorú poskytnete, bude mať za následok stratu kľúčov. Strata kľúča bráni používateľom dešifrovať obsah priestoru a ďalšie šifrované údaje v aplikácii Webex. Ak sa tak stane, môžete vytvoriť nové nasadenie, ale bude viditeľný iba nový obsah. Aby ste predišli strate prístupu k údajom, musíte:

                                                                                                                                                  • Spravujte zálohovanie a obnovu databázy a konfiguračného ISO.

                                                                                                                                                  • Buďte pripravení vykonať rýchlu obnovu po havárii, ak dôjde ku katastrofe, ako je zlyhanie databázového disku alebo katastrofa dátového centra.


                                                                                                                                                   

                                                                                                                                                  Neexistuje žiadny mechanizmus na presun kľúčov späť do cloudu po nasadení HDS.

                                                                                                                                                  Proces nastavenia na vysokej úrovni

                                                                                                                                                  Tento dokument pokrýva nastavenie a správu nasadenia Hybrid Data Security:

                                                                                                                                                  • Nastavte Hybridné zabezpečenie dát—To zahŕňa prípravu požadovanej infraštruktúry a inštaláciu softvéru Hybrid Data Security, testovanie vášho nasadenia s podskupinou používateľov v skúšobnom režime a po dokončení testovania prechod do produkcie. To prevedie celú organizáciu na používanie vášho klastra Hybrid Data Security na bezpečnostné funkcie.

                                                                                                                                                    Fázy nastavenia, skúšania a výroby sú podrobne opísané v nasledujúcich troch kapitolách.

                                                                                                                                                  • Udržujte svoje nasadenie Hybrid Data Security— Cloud Webex automaticky poskytuje priebežné aktualizácie. Vaše IT oddelenie môže poskytnúť podporu prvej úrovne pre toto nasadenie a podľa potreby zapojiť podporu Cisco. V Control Hub môžete používať upozornenia na obrazovke a nastaviť upozornenia prostredníctvom e-mailu.

                                                                                                                                                  • Pochopte bežné upozornenia, kroky na riešenie problémov a známe problémy—Ak narazíte na problémy s nasadením alebo používaním Hybrid Data Security, posledná kapitola tejto príručky a príloha Známe problémy vám môžu pomôcť určiť a vyriešiť problém.

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  V rámci podnikového dátového centra nasadíte Hybrid Data Security ako jeden klaster uzlov na samostatných virtuálnych hostiteľoch. Uzly komunikujú s cloudom Webex prostredníctvom zabezpečených webových zásuviek a zabezpečeného HTTP.

                                                                                                                                                  Počas procesu inštalácie vám poskytneme súbor OVA na nastavenie virtuálneho zariadenia na VM, ktoré poskytnete. Nástroj HDS Setup Tool použijete na vytvorenie vlastného konfiguračného súboru ISO klastra, ktorý pripojíte na každý uzol. Klaster Hybrid Data Security využíva váš poskytnutý server Syslogd a databázu PostgreSQL alebo Microsoft SQL Server. (Syslogd a podrobnosti o pripojení k databáze nakonfigurujete v nástroji HDS Setup Tool.)

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  Minimálny počet uzlov, ktoré môžete mať v klastri, sú dva. Odporúčame aspoň tri a môžete ich mať až päť. Viacnásobné uzly zaisťujú, že služba nebude prerušená počas aktualizácie softvéru alebo inej činnosti údržby na uzle. (Cloud Webex aktualizuje naraz iba jeden uzol.)

                                                                                                                                                  Všetky uzly v klastri pristupujú k rovnakému úložisku údajov kľúčov a zaznamenávajú aktivitu na rovnaký server syslog. Samotné uzly sú bez stavu a spracovávajú kľúčové požiadavky v režime round-robin podľa pokynov cloudu.

                                                                                                                                                  Uzly sa stanú aktívnymi, keď ich zaregistrujete v Control Hub. Ak chcete vyradiť jednotlivý uzol z prevádzky, môžete ho zrušiť a neskôr v prípade potreby znova zaregistrovať.

                                                                                                                                                  Podporujeme iba jeden klaster na organizáciu.

                                                                                                                                                  Skúšobný režim hybridnej bezpečnosti dát

                                                                                                                                                  Po nastavení nasadenia Hybrid Data Security ho najskôr vyskúšate so skupinou pilotných používateľov. Počas skúšobného obdobia títo používatelia používajú vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Ostatní vaši používatelia naďalej používajú oblasť zabezpečenia cloudu.

                                                                                                                                                  Ak sa rozhodnete nepokračovať v nasadzovaní počas skúšobného obdobia a službu deaktivujete, pilotní používatelia a všetci používatelia, s ktorými počas skúšobného obdobia interagovali vytvorením nových priestorov, stratia prístup k správam a obsahu. V aplikácii Webex sa im zobrazí „Táto správa sa nedá dešifrovať“.

                                                                                                                                                  Ak ste spokojní s tým, že vaše nasadenie funguje dobre pre skúšobných používateľov a ste pripravení rozšíriť Hybrid Data Security na všetkých svojich používateľov, presuniete nasadenie do produkcie. Pilotní používatelia majú naďalej prístup ku kľúčom, ktoré sa používali počas skúšobnej verzie. Nemôžete sa však pohybovať tam a späť medzi produkčným režimom a pôvodnou skúšobnou verziou. Ak musíte službu deaktivovať, napríklad vykonať obnovu po havárii, pri opätovnej aktivácii musíte spustiť novú skúšobnú verziu a nastaviť skupinu pilotných používateľov pre novú skúšobnú verziu, než sa vrátite späť do produkčného režimu. Či si používatelia v tomto bode zachovajú prístup k údajom, závisí od toho, či ste úspešne udržiavali zálohy úložiska kľúčových údajov a konfiguračného súboru ISO pre uzly Hybrid Data Security vo vašom klastri.

                                                                                                                                                  Pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Počas nasadenia nastavíte zabezpečené pohotovostné dátové centrum. V prípade havárie dátového centra môžete manuálne zlyhať nasadenie do pohotovostného dátového centra.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Manuálne prepnutie do pohotovostného dátového centra

                                                                                                                                                  Databázy aktívnych a pohotovostných dátových centier sú navzájom synchronizované, čo minimalizuje čas potrebný na vykonanie núdzového prepnutia. Súbor ISO pohotovostného dátového centra sa aktualizuje o ďalšie konfigurácie, ktoré zaisťujú, že uzly sú registrované v organizácii, ale nebudú spracovávať prevádzku. Preto uzly pohotovostného dátového centra zostávajú vždy aktuálne s najnovšou verziou softvéru HDS.


                                                                                                                                                   

                                                                                                                                                  Aktívne uzly Hybrid Data Security musia byť vždy v rovnakom údajovom centre ako aktívny databázový server.

                                                                                                                                                  Nastavte pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Ak chcete nakonfigurovať súbor ISO pohotovostného dátového centra, postupujte podľa nasledujúcich krokov:

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Pohotovostné dátové centrum by malo odrážať produkčné prostredie VM a záložnú databázu PostgreSQL alebo Microsoft SQL Server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM. (Pozri Pohotovostné dátové centrum pre obnovu po havárii pre prehľad tohto modelu núdzového prepnutia.)

                                                                                                                                                  • Uistite sa, že je povolená synchronizácia databázy medzi databázou aktívnych a pasívnych uzlov klastra.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Súbor ISO musí byť kópiou pôvodného súboru ISO primárneho dátového centra, v ktorom sa majú vykonať nasledujúce aktualizácie konfigurácie.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie, aby ste umiestnili uzol do pasívneho režimu. V tomto režime bude uzol zaregistrovaný v organizácii a pripojený ku cloudu, ale nebude spracovávať žiadny prenos.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte syslogy a overte, či sú uzly v pasívnom režime. V syslogoch by ste mali vidieť správu „KMS nakonfigurovaná v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Po konfigurácii passiveMode v súbore ISO a jeho uložením môžete vytvoriť ďalšiu kópiu súboru ISO bez súboru passiveMode konfiguráciu a uložte ju na bezpečnom mieste. Táto kópia súboru ISO bez passiveMode nakonfigurovaný môže pomôcť pri rýchlom procese núdzového prepnutia počas obnovy po havárii. Pozri Obnova po havárii pomocou pohotovostného dátového centra pre podrobný postup núdzového prepnutia.

                                                                                                                                                  Podpora proxy

                                                                                                                                                  Hybrid Data Security podporuje explicitné, transparentné kontrolné a nekontrolujúce proxy. Tieto servery proxy môžete prepojiť s nasadením, aby ste mohli zabezpečiť a monitorovať prevádzku z podniku do cloudu. Rozhranie správcu platformy na uzloch môžete použiť na správu certifikátov a na kontrolu celkového stavu pripojenia po nastavení servera proxy na uzloch.

                                                                                                                                                  Uzly Hybrid Data Security podporujú nasledujúce možnosti proxy:

                                                                                                                                                  • Žiadny proxy—Predvolené, ak na integráciu servera proxy nepoužívate nastavenie uzla HDS Trust Store & Proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentný nekontrolujúci splnomocnenec– Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentné tunelovanie alebo kontrola proxy– Uzly nie sú nakonfigurované na používanie špecifickej adresy servera proxy. Na uzloch nie sú potrebné žiadne zmeny konfigurácie HTTP alebo HTTPS. Uzly však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).

                                                                                                                                                  • Explicitný proxy—S explicitným proxy, poviete HDS uzlom, ktorý proxy server a overovaciu schému použiť. Ak chcete nakonfigurovať explicitný server proxy, musíte do každého uzla zadať nasledujúce informácie:

                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol—V závislosti od toho, čo váš proxy server podporuje, vyberte si z nasledujúcich protokolov:

                                                                                                                                                      • HTTP – zobrazuje a riadi všetky požiadavky, ktoré klient odosiela.

                                                                                                                                                      • HTTPS – poskytuje kanál pre server. Klient prijme a overí certifikát servera.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné, iba ak vyberiete HTTPS ako protokol proxy.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                  Príklad uzlov na zabezpečenie hybridných dát a proxy

                                                                                                                                                  Tento diagram ukazuje príklad spojenia medzi Hybrid Data Security, sieťou a proxy. Pre možnosti transparentnej kontroly a explicitnej kontroly HTTPS proxy musí byť na serveri proxy aj na uzloch Hybrid Data Security nainštalovaný rovnaký koreňový certifikát.

                                                                                                                                                  Blokovaný režim externého rozlíšenia DNS (explicitné konfigurácie proxy)

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. V nasadeniach s explicitnými konfiguráciami proxy, ktoré neumožňujú externé rozlíšenie DNS pre interných klientov, ak uzol nemôže dotazovať servery DNS, automaticky prejde do režimu blokovaného externého riešenia DNS. V tomto režime môže pokračovať registrácia uzla a ďalšie testy pripojenia proxy.

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  Požiadavky na hybridnú bezpečnosť dát

                                                                                                                                                  Požiadavky na licenciu Cisco Webex

                                                                                                                                                  Nasadenie Hybrid Data Security:

                                                                                                                                                  Požiadavky na plochu Docker

                                                                                                                                                  Pred inštaláciou uzlov HDS potrebujete Docker Desktop na spustenie inštalačného programu. Docker nedávno aktualizoval svoj licenčný model. Vaša organizácia môže vyžadovať platené predplatné pre Docker Desktop. Podrobnosti nájdete v blogovom príspevku Docker, " Docker aktualizuje a rozširuje naše predplatné produktov".

                                                                                                                                                  Požiadavky na certifikát X.509

                                                                                                                                                  Certifikačný reťazec musí spĺňať nasledujúce požiadavky:

                                                                                                                                                  Tabuľka č. 1 Požiadavky certifikátu X.509 pre nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Požiadavka

                                                                                                                                                  Podrobnosti

                                                                                                                                                  • Podpísané dôveryhodnou certifikačnou autoritou (CA)

                                                                                                                                                  V predvolenom nastavení dôverujeme CA v zozname Mozilly (s výnimkou WoSign a StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Nesie názov domény Common Name (CN), ktorý identifikuje vaše nasadenie Hybrid Data Security

                                                                                                                                                  • Nie je to zástupný certifikát

                                                                                                                                                  CN nemusí byť dosiahnuteľné alebo živého hostiteľa. Odporúčame vám použiť názov, ktorý odráža vašu organizáciu, napr. hds.company.com.

                                                                                                                                                  KN nesmie obsahovať * (zástupný znak).

                                                                                                                                                  CN sa používa na overenie uzlov Hybrid Data Security pre klientov Webex App. Všetky uzly Hybrid Data Security vo vašom klastri používajú rovnaký certifikát. Váš KMS sa identifikuje pomocou domény CN, nie akejkoľvek domény, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  Po zaregistrovaní uzla s týmto certifikátom nepodporujeme zmenu názvu domény CN. Vyberte doménu, ktorá sa môže vzťahovať na skúšobné aj produkčné nasadenie.

                                                                                                                                                  • Podpis iný ako SHA1

                                                                                                                                                  Softvér KMS nepodporuje podpisy SHA1 na overenie pripojení k KMS iných organizácií.

                                                                                                                                                  • Naformátovaný ako súbor PKCS #12 chránený heslom

                                                                                                                                                  • Použite priateľský názov kms-private-key na označenie certifikátu, súkromného kľúča a akýchkoľvek sprostredkujúcich certifikátov na odovzdanie.

                                                                                                                                                  Na zmenu formátu certifikátu môžete použiť konvertor, ako je OpenSSL.

                                                                                                                                                  Pri spustení nástroja HDS Setup Tool budete musieť zadať heslo.

                                                                                                                                                  Softvér KMS nevynucuje používanie kľúčov ani rozšírené obmedzenia používania kľúčov. Niektoré certifikačné autority vyžadujú, aby sa na každý certifikát aplikovali rozšírené obmedzenia používania kľúčov, ako je autentifikácia servera. Je v poriadku použiť overenie servera alebo iné nastavenia.

                                                                                                                                                  Požiadavky na virtuálny hostiteľ

                                                                                                                                                  Virtuálni hostitelia, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri, majú nasledujúce požiadavky:

                                                                                                                                                  • Aspoň dvaja oddelení hostitelia (odporúčajú sa 3) umiestnení v rovnakom zabezpečenom dátovom centre

                                                                                                                                                  • VMware ESXi 6.5 (alebo novší) nainštalovaný a spustený.


                                                                                                                                                     

                                                                                                                                                    Ak máte staršiu verziu ESXi, musíte vykonať inováciu.

                                                                                                                                                  • Minimálne 4 vCPU, 8 GB hlavnej pamäte, 30 GB miesta na lokálnom pevnom disku na server

                                                                                                                                                  Požiadavky na databázový server


                                                                                                                                                   

                                                                                                                                                  Vytvorte novú databázu pre uloženie kľúčov. Nepoužívajte predvolenú databázu. Aplikácie HDS, keď sú nainštalované, vytvoria schému databázy.

                                                                                                                                                  Pre databázový server sú dve možnosti. Požiadavky na každú z nich sú nasledovné:

                                                                                                                                                  Tabuľka 2 Požiadavky na databázový server podľa typu databázy

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  • PostgreSQL 14, 15 alebo 16, nainštalovaný a spustený.

                                                                                                                                                  • SQL Server 2016, 2017 alebo 2019 (Enterprise alebo Standard) nainštalovaný.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 vyžaduje Service Pack 2 a Kumulatívna aktualizácia 2 alebo novšia.

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Softvér HDS momentálne inštaluje nasledujúce verzie ovládačov na komunikáciu s databázovým serverom:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  Postgres JDBC ovládač 42.2.5

                                                                                                                                                  Ovládač SQL Server JDBC 4.6

                                                                                                                                                  Táto verzia ovládača podporuje SQL Server Always On ( Vždy v prípade zlyhania klastra a Vždy zapnuté skupiny dostupnosti).

                                                                                                                                                  Dodatočné požiadavky na overenie systému Windows voči Microsoft SQL Server

                                                                                                                                                  Ak chcete, aby uzly HDS používali autentifikáciu systému Windows na získanie prístupu k vašej databáze úložiska kľúčov na serveri Microsoft SQL Server, potrebujete vo svojom prostredí nasledujúcu konfiguráciu:

                                                                                                                                                  • HDS uzly, infraštruktúra Active Directory a MS SQL Server musia byť synchronizované s NTP.

                                                                                                                                                  • Účet Windows, ktorý poskytnete uzlom HDS, musí mať prístup k databáze na čítanie/zápis.

                                                                                                                                                  • Servery DNS, ktoré poskytujete uzlom HDS, musia byť schopné vyriešiť vaše Centrum distribúcie kľúčov (KDC).

                                                                                                                                                  • Inštanciu databázy HDS môžete zaregistrovať na svojom serveri Microsoft SQL Server ako hlavný názov služby (SPN) vo vašom adresári Active Directory. Pozri Zaregistrujte hlavný názov služby pre pripojenia Kerberos.

                                                                                                                                                    Nástroj na nastavenie HDS, spúšťač HDS a miestne KMS musia na prístup k databáze kľúčov používať overenie systému Windows. Používajú podrobnosti z vašej konfigurácie ISO na vytvorenie SPN pri požadovaní prístupu s overením Kerberos.

                                                                                                                                                  Požiadavky na externé pripojenie

                                                                                                                                                  Nakonfigurujte svoj firewall tak, aby umožňoval nasledujúce pripojenie pre aplikácie HDS:

                                                                                                                                                  Aplikácia

                                                                                                                                                  Protokol

                                                                                                                                                  Port

                                                                                                                                                  Smer z App

                                                                                                                                                  Destinácia

                                                                                                                                                  Hybridné uzly zabezpečenia údajov

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS a WSS

                                                                                                                                                  • Webex servery:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • Ďalšie adresy URL, ktoré sú uvedené pre Hybrid Data Security v Ďalšie adresy URL pre hybridné služby Webex tabuľka Sieťové požiadavky pre služby Webex

                                                                                                                                                  Nástroj na nastavenie HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Uzly Hybrid Data Security pracujú s prekladom sieťového prístupu (NAT) alebo za bránou firewall, pokiaľ NAT alebo brána firewall umožňuje požadované odchádzajúce pripojenia k destináciám domény v predchádzajúcej tabuľke. Pre pripojenia prichádzajúce do uzlov Hybrid Data Security by nemali byť z internetu viditeľné žiadne porty. V rámci vášho dátového centra potrebujú klienti prístup k uzlom Hybrid Data Security na portoch TCP 443 a 22 na administratívne účely.

                                                                                                                                                  Adresy URL hostiteľov Common Identity (CI) sú špecifické pre daný región. Toto sú súčasní hostitelia CI:

                                                                                                                                                  región

                                                                                                                                                  Spoločné adresy URL hostiteľa identity

                                                                                                                                                  Ameriky

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Európska únia

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Kanada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Požiadavky na proxy server

                                                                                                                                                  • Oficiálne podporujeme nasledujúce proxy riešenia, ktoré sa dajú integrovať s vašimi uzlami Hybrid Data Security.

                                                                                                                                                    • Transparentný proxy – Cisco Web Security Appliance (WSA).

                                                                                                                                                    • Explicitný proxy-Squid.


                                                                                                                                                       

                                                                                                                                                      Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky (wss:) spojenia. Ak chcete tento problém obísť, pozrite si Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát.

                                                                                                                                                  • Pre explicitné servery proxy podporujeme nasledujúce kombinácie typov overenia:

                                                                                                                                                    • Žiadna autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Základná autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Digest overenie iba s HTTPS

                                                                                                                                                  • Pre transparentný kontrolný proxy server alebo explicitný proxy server HTTPS musíte mať kópiu koreňového certifikátu servera proxy. Pokyny na nasadenie v tejto príručke vám povedia, ako nahrať kópiu do dôveryhodných obchodov uzlov Hybrid Data Security.

                                                                                                                                                  • Sieť, ktorá hostí uzly HDS, musí byť nakonfigurovaná tak, aby vynútila smerovanie odchádzajúcej prevádzky TCP na porte 443 cez server proxy.

                                                                                                                                                  • Proxy, ktoré kontrolujú webovú prevádzku, môžu narúšať pripojenia webových soketov. Ak sa vyskytne tento problém, obíďte (nie kontrolujte) premávku na wbx2.com a ciscospark.com problém vyrieši.

                                                                                                                                                  Vyplňte Predpoklady pre hybridnú bezpečnosť údajov

                                                                                                                                                  Pomocou tohto kontrolného zoznamu sa uistite, že ste pripravení na inštaláciu a konfiguráciu klastra Hybrid Data Security.
                                                                                                                                                  1

                                                                                                                                                  Uistite sa, že vaša organizácia Webex má povolený balík Pro Pack pre Cisco Webex Control Hub a získajte prihlasovacie údaje účtu s úplnými právami správcu organizácie. Ak potrebujete pomoc s týmto procesom, kontaktujte svojho partnera Cisco alebo account manažéra.

                                                                                                                                                  2

                                                                                                                                                  Vyberte názov domény pre svoje nasadenie HDS (napr. hds.company.com) a získajte reťaz certifikátov obsahujúci certifikát X.509, súkromný kľúč a akékoľvek sprostredkujúce certifikáty. Certifikačný reťazec musí spĺňať požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  3

                                                                                                                                                  Pripravte si identických virtuálnych hostiteľov, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri. Potrebujete aspoň dvoch samostatných hostiteľov (odporúčajú sa 3) umiestnených v rovnakom zabezpečenom dátovom centre, ktorí spĺňajú požiadavky v Požiadavky na virtuálny hostiteľ.

                                                                                                                                                  4

                                                                                                                                                  Pripravte databázový server, ktorý bude fungovať ako úložisko kľúčových údajov pre klaster, podľa Požiadavky na databázový server. Databázový server musí byť umiestnený v zabezpečenom údajovom centre spolu s virtuálnymi hostiteľmi.

                                                                                                                                                  1. Vytvorte databázu pre ukladanie kľúčov. (Túto databázu musíte vytvoriť – nepoužívajte predvolenú databázu. Aplikácie HDS po nainštalovaní vytvoria schému databázy.)

                                                                                                                                                  2. Zhromaždite podrobnosti, ktoré budú uzly používať na komunikáciu s databázovým serverom:

                                                                                                                                                    • názov hostiteľa alebo IP adresa (hostiteľ) a port

                                                                                                                                                    • názov databázy (dbname) pre uloženie kľúčov

                                                                                                                                                    • užívateľské meno a heslo užívateľa so všetkými privilégiami v databáze kľúča

                                                                                                                                                  5

                                                                                                                                                  Pre rýchlu obnovu po havárii nastavte zálohovacie prostredie v inom dátovom centre. Zálohovacie prostredie odzrkadľuje produkčné prostredie VM a záložný databázový server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Nastavte hostiteľa syslog na zhromažďovanie protokolov z uzlov v klastri. Získajte jeho sieťovú adresu a port syslog (predvolené je UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Vytvorte politiku bezpečného zálohovania pre uzly Hybrid Data Security, databázový server a hostiteľa syslog. Aby ste predišli nenapraviteľnej strate údajov, musíte minimálne zálohovať databázu a konfiguračný súbor ISO vygenerovaný pre uzly Hybrid Data Security.


                                                                                                                                                   

                                                                                                                                                  Pretože uzly Hybrid Data Security ukladajú kľúče používané na šifrovanie a dešifrovanie obsahu, zlyhanie pri udržiavaní operačného nasadenia bude mať za následok NENÁHRADITEĽNÁ STRATA tohto obsahu.

                                                                                                                                                  Klienti Webex App ukladajú svoje kľúče do vyrovnávacej pamäte, takže výpadok nemusí byť okamžite viditeľný, ale časom sa prejaví. Zatiaľ čo dočasným výpadkom nie je možné zabrániť, sú obnoviteľné. Úplná strata (nie sú k dispozícii žiadne zálohy) databázy alebo konfiguračného ISO súboru však bude mať za následok neobnoviteľné zákaznícke údaje. Od operátorov uzlov Hybrid Data Security sa očakáva, že budú pravidelne zálohovať databázu a konfiguračný ISO súbor a budú pripravení na prestavbu dátového centra Hybrid Data Security, ak dôjde ku katastrofálnej poruche.

                                                                                                                                                  8

                                                                                                                                                  Uistite sa, že vaša konfigurácia brány firewall umožňuje pripojenie pre vaše uzly Hybrid Data Security, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  9

                                                                                                                                                  Nainštalujte Docker ( https://www.docker.com) na akomkoľvek lokálnom počítači s podporovaným operačným systémom (Microsoft Windows 10 Professional alebo Enterprise 64-bit, alebo Mac OSX Yosemite 10.10.3 alebo novší) s webovým prehliadačom, ktorý k nemu môže pristupovať na http://127.0.0.1:8080.

                                                                                                                                                  Inštanciu Docker použijete na stiahnutie a spustenie nástroja HDS Setup Tool, ktorý vytvorí informácie o lokálnej konfigurácii pre všetky uzly Hybrid Data Security. Vaša organizácia môže potrebovať licenciu Docker Desktop. Pozri Požiadavky na plochu Docker Pre viac informácií.

                                                                                                                                                  Ak chcete nainštalovať a spustiť nástroj HDS Setup Tool, lokálny počítač musí mať konektivitu uvedenú v Požiadavky na externé pripojenie.

                                                                                                                                                  10

                                                                                                                                                  Ak integrujete proxy s Hybrid Data Security, uistite sa, že spĺňa Požiadavky na proxy server.

                                                                                                                                                  11

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, vytvorte skupinu v Active Directory s názvom HdsTrialGroup a pridajte pilotných používateľov. Skúšobná skupina môže mať až 250 používateľov. The HdsTrialGroup Pred spustením skúšobnej verzie pre vašu organizáciu musí byť objekt synchronizovaný s cloudom. Ak chcete synchronizovať objekt skupiny, vyberte ho v priečinku Directory Connector Konfigurácia > Výber objektu Ponuka. (Podrobné pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Pri výbere pilotných používateľov majte na pamäti, že ak sa rozhodnete natrvalo deaktivovať nasadenie Hybrid Data Security, všetci používatelia stratia prístup k obsahu v priestoroch, ktoré vytvorili pilotní používatelia. Strata sa prejaví hneď, ako aplikácie používateľov obnovia svoje kópie obsahu uložené vo vyrovnávacej pamäti.

                                                                                                                                                  Nastavte Hybrid Data Security Cluster

                                                                                                                                                  Tok úloh nasadenia zabezpečenia hybridných údajov

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  1

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  Stiahnite si súbor OVA na váš lokálny počítač pre neskoršie použitie.

                                                                                                                                                  2

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Pomocou nástroja HDS Setup Tool vytvorte konfiguračný súbor ISO pre uzly Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Vytvorte virtuálny počítač zo súboru OVA a vykonajte počiatočnú konfiguráciu, ako sú nastavenia siete.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  4

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Prihláste sa do konzoly VM a nastavte prihlasovacie poverenia. Nakonfigurujte sieťové nastavenia pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  5

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Nakonfigurujte VM z konfiguračného súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  6

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje konfiguráciu servera proxy, zadajte typ servera proxy, ktorý použijete pre uzol, a v prípade potreby pridajte certifikát servera proxy do dôveryhodného úložiska.

                                                                                                                                                  7

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Zaregistrujte VM v cloude Cisco Webex ako uzol Hybrid Data Security.

                                                                                                                                                  8

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Dokončite nastavenie klastra.

                                                                                                                                                  9

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)

                                                                                                                                                  Kým nezačnete skúšobnú verziu, vaše uzly generujú alarm oznamujúci, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  V tejto úlohe stiahnete súbor OVA do svojho počítača (nie na servery, ktoré ste nastavili ako uzly Hybrid Data Security). Tento súbor použijete neskôr v procese inštalácie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom kliknite Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybridné služby nájdite kartu Hybrid Data Security a potom kliknite Nastaviť.

                                                                                                                                                  Ak je karta zakázaná alebo ju nevidíte, kontaktujte tím spravujúci váš účet alebo partnerskú organizáciu. Poskytnite im svoje číslo účtu a požiadajte, aby vašej organizácii umožnili Hybridné zabezpečenie dát. Ak chcete nájsť číslo účtu, kliknite na ozubené koliesko vpravo hore vedľa názvu organizácie.


                                                                                                                                                   

                                                                                                                                                  OVA si tiež môžete kedykoľvek stiahnuť z Pomoc oddiel na nastavenie stránku. Na karte Hybrid Data Security kliknite na Upraviť nastavenia otvorte stránku. Potom kliknite Stiahnite si softvér Hybrid Data Security v Pomoc oddiele.


                                                                                                                                                   

                                                                                                                                                  Staršie verzie softvérového balíka (OVA) nebudú kompatibilné s najnovšími aktualizáciami Hybrid Data Security. To môže viesť k problémom pri inovácii aplikácie. Uistite sa, že ste si stiahli najnovšiu verziu súboru OVA.

                                                                                                                                                  3

                                                                                                                                                  Vyberte Nie na označenie, že ste ešte nenastavili uzol, a potom kliknite Ďalšie.

                                                                                                                                                  Automaticky sa začne sťahovať súbor OVA. Uložte súbor na miesto v počítači.
                                                                                                                                                  4

                                                                                                                                                  Voliteľne kliknite Otvorte Sprievodcu nasadením a skontrolujte, či je k dispozícii novšia verzia tejto príručky.

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Proces nastavenia Hybrid Data Security vytvorí súbor ISO. Potom použijete ISO na konfiguráciu hostiteľa Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak nástroj HDS Setup beží za serverom proxy vo vašom prostredí, pri spúšťaní kontajnera Docker v kroku poskytnite nastavenia servera proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 5. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Konfiguračný súbor ISO, ktorý vygenerujete, obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. Najnovšiu kópiu tohto súboru potrebujete vždy, keď vykonáte zmeny v konfigurácii, ako napríklad:

                                                                                                                                                    • Databázové poverenia

                                                                                                                                                    • Aktualizácie certifikátov

                                                                                                                                                    • Zmeny v politike autorizácie

                                                                                                                                                  • Ak plánujete šifrovať pripojenia k databáze, nastavte svoje nasadenie PostgreSQL alebo SQL Server pre TLS.

                                                                                                                                                  1

                                                                                                                                                  Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2

                                                                                                                                                  Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  • V bežných prostrediach bez servera proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V prostrediach FedRAMP bez proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  Pomocou webového prehliadača prejdite na localhost, http://127.0.0.1:8080 a po výzve zadajte používateľské meno správcu zákazníka pre Control Hub.

                                                                                                                                                  Nástroj používa toto prvé zadanie používateľského mena na nastavenie správneho prostredia pre daný účet. Nástroj potom zobrazí štandardnú výzvu na prihlásenie.

                                                                                                                                                  7

                                                                                                                                                  Po zobrazení výzvy zadajte svoje prihlasovacie poverenia správcu zákazníka Control Hub a potom kliknite Prihlásiť sa na umožnenie prístupu k požadovaným službám pre Hybridnú bezpečnosť dát.

                                                                                                                                                  8

                                                                                                                                                  Na stránke prehľadu nástroja Setup kliknite na Začať.

                                                                                                                                                  9

                                                                                                                                                  Na ISO import stránku, máte tieto možnosti:

                                                                                                                                                  • Nie—Ak vytvárate svoj prvý uzol HDS, nemáte súbor ISO na nahranie.
                                                                                                                                                  • Áno—Ak ste už vytvorili uzly HDS, vyberte súbor ISO v prehľadávaní a nahrajte ho.
                                                                                                                                                  10

                                                                                                                                                  Skontrolujte, či váš certifikát X.509 spĺňa požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  • Ak ste nikdy predtým nenahrali certifikát, nahrajte certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  • Ak je váš certifikát v poriadku, kliknite ďalej.
                                                                                                                                                  • Ak platnosť vášho certifikátu vypršala alebo ho chcete nahradiť, vyberte Nie pre Pokračovať v používaní reťazca certifikátov HDS a súkromného kľúča z predchádzajúceho ISO?. Nahrajte nový certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  11

                                                                                                                                                  Zadajte databázovú adresu a účet pre HDS, aby ste získali prístup k vášmu úložisku kľúčových údajov:

                                                                                                                                                  1. Vyberte si svoj Typ databázy (PostgreSQL alebo Microsoft SQL Server).

                                                                                                                                                    Ak si vyberiete Microsoft SQL Server, získate pole Typ overenia.

                                                                                                                                                  2. (Microsoft SQL Server iba) Vyberte si autentický typ:

                                                                                                                                                    • Základná autentifikácia: Potrebujete názov lokálneho účtu SQL Server v súbore Používateľské meno lúka.

                                                                                                                                                    • Overenie systému Windows: Potrebujete účet Windows vo formáte username@DOMAIN v Používateľské meno lúka.

                                                                                                                                                  3. Do formulára zadajte adresu databázového servera <hostname>:<port> alebo <IP-address>:<port>.

                                                                                                                                                    Príklad:
                                                                                                                                                    dbhost.example.org:1433 alebo 198.51.100.17:1433

                                                                                                                                                    Môžete použiť IP adresu na základnú autentifikáciu, ak uzly nemôžu použiť DNS na rozlíšenie názvu hostiteľa.

                                                                                                                                                    Ak používate overovanie systému Windows, musíte zadať úplný názov domény vo formáte dbhost.example.org:1433

                                                                                                                                                  4. Zadajte Názov databázy.

                                                                                                                                                  5. Zadajte Používateľské meno a heslo používateľa so všetkými oprávneniami na databázu úložiska kľúčov.

                                                                                                                                                  12

                                                                                                                                                  Vyberte a Režim pripojenia databázy TLS:

                                                                                                                                                  Režim

                                                                                                                                                  Opis

                                                                                                                                                  Preferujem TLS (predvolená možnosť)

                                                                                                                                                  HDS uzly nevyžadujú TLS na pripojenie k databázovému serveru. Ak povolíte TLS na databázovom serveri, uzly sa pokúsia o šifrované pripojenie.

                                                                                                                                                  Vyžadovať TLS

                                                                                                                                                  Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu


                                                                                                                                                   

                                                                                                                                                  Tento režim nie je použiteľný pre databázy SQL Server.

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu a názov hostiteľa

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  • Uzly tiež overujú, či sa názov hostiteľa v certifikáte servera zhoduje s názvom hostiteľa v Hostiteľ databázy a port lúka. Názvy sa musia presne zhodovať, inak uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Keď nahráte koreňový certifikát (ak je to potrebné) a kliknite na ďalej, HDS Setup Tool otestuje TLS pripojenie k databázovému serveru. Nástroj tiež overuje podpisovateľa certifikátu a názov hostiteľa, ak je to potrebné. Ak test zlyhá, nástroj zobrazí chybové hlásenie popisujúce problém. Môžete si vybrať, či chcete chybu ignorovať a pokračovať v nastavovaní. (Vzhľadom na rozdiely v konektivite môžu byť uzly HDS schopné nadviazať pripojenie TLS, aj keď ho zariadenie HDS Setup Tool nedokáže úspešne otestovať.)

                                                                                                                                                  13

                                                                                                                                                  Na stránke Systémové denníky nakonfigurujte svoj server Syslogd:

                                                                                                                                                  1. Zadajte adresu URL servera syslog.

                                                                                                                                                    Ak server nie je schopný rozlíšiť DNS z uzlov pre váš klaster HDS, použite v adrese URL adresu IP.

                                                                                                                                                    Príklad:
                                                                                                                                                    udp://10.92.43.23:514 označuje prihlásenie do hostiteľa Syslogd 10.92.43.23 na porte UDP 514.
                                                                                                                                                  2. Ak ste nastavili svoj server na používanie šifrovania TLS, skontrolujte Je váš server syslog nakonfigurovaný na šifrovanie SSL?.

                                                                                                                                                    Ak začiarknete toto políčko, uistite sa, že ste zadali TCP URL, ako napr tcp://10.92.43.23:514.

                                                                                                                                                  3. Z Vyberte ukončenie záznamu syslog v rozbaľovacej ponuke vyberte vhodné nastavenie pre váš súbor ISO: Choose alebo Newline sa používa pre Graylog a Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Nový riadok -- \n—Vyberte túto voľbu pre Graylog a Rsyslog TCP.

                                                                                                                                                  4. Kliknite ďalej.

                                                                                                                                                  14

                                                                                                                                                  (Voliteľné) Môžete zmeniť predvolenú hodnotu pre niektoré parametre pripojenia k databáze v Pokročilé nastavenia. Vo všeobecnosti je tento parameter jediný, ktorý možno budete chcieť zmeniť:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Kliknite ďalej na Obnovte heslo servisných účtov obrazovke.

                                                                                                                                                  Heslá k servisným účtom majú životnosť deväť mesiacov. Túto obrazovku použite, keď sa blíži koniec platnosti vašich hesiel alebo ich chcete resetovať, aby ste zrušili platnosť predchádzajúcich súborov ISO.

                                                                                                                                                  16

                                                                                                                                                  Kliknite Stiahnite si súbor ISO. Uložte súbor na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  17

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme.

                                                                                                                                                  Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  18

                                                                                                                                                  Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zálohujte konfiguračný súbor ISO. Potrebujete ho na vytvorenie ďalších uzlov na obnovu alebo na vykonanie zmien v konfigurácii. Ak stratíte všetky kópie súboru ISO, stratili ste aj hlavný kľúč. Obnovenie kľúčov z databázy PostgreSQL alebo Microsoft SQL Server nie je možné.


                                                                                                                                                   

                                                                                                                                                  Nikdy nemáme kópiu tohto kľúča a nemôžeme vám pomôcť, ak ho stratíte.

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Tento postup použite na vytvorenie virtuálneho počítača zo súboru OVA.
                                                                                                                                                  1

                                                                                                                                                  Na prihlásenie do virtuálneho hostiteľa ESXi použite klienta VMware vSphere na vašom počítači.

                                                                                                                                                  2

                                                                                                                                                  Vyberte Súbor > Nasadiť šablónu OVF.

                                                                                                                                                  3

                                                                                                                                                  V sprievodcovi zadajte umiestnenie súboru OVA, ktorý ste si stiahli skôr, a potom kliknite Ďalšie .

                                                                                                                                                  4

                                                                                                                                                  Na Vyberte názov a priečinok stránku, zadajte a Názov virtuálneho počítača pre uzol (napríklad „HDS_Node_1"), vyberte umiestnenie, kde sa môže nachádzať nasadenie uzla virtuálneho počítača, a potom kliknite Ďalšie .

                                                                                                                                                  5

                                                                                                                                                  Na Vyberte výpočtový zdroj vyberte cieľový výpočtový zdroj a potom kliknite Ďalšie .

                                                                                                                                                  Prebehne overovacia kontrola. Po dokončení sa zobrazia podrobnosti šablóny.

                                                                                                                                                  6

                                                                                                                                                  Overte podrobnosti šablóny a potom kliknite Ďalšie.

                                                                                                                                                  7

                                                                                                                                                  Ak sa zobrazí výzva na výber konfigurácie prostriedkov na Konfigurácia stránku, kliknite 4 CPU a potom kliknite Ďalšie .

                                                                                                                                                  8

                                                                                                                                                  Na Vyberte úložisko stránku, kliknite Ďalšie akceptovať predvolený formát disku a politiku úložiska VM.

                                                                                                                                                  9

                                                                                                                                                  Na Vyberte siete vyberte sieťovú možnosť zo zoznamu položiek, aby ste poskytli požadované pripojenie k VM.

                                                                                                                                                  10

                                                                                                                                                  Na Prispôsobiť šablónu nakonfigurujte nasledujúce nastavenia siete:

                                                                                                                                                  • Meno hosťa— Zadajte FQDN (názov hostiteľa a doménu) alebo jednoslovný názov hostiteľa pre uzol.

                                                                                                                                                     
                                                                                                                                                    • Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                    • Ak chcete zabezpečiť úspešnú registráciu do cloudu, použite iba malé písmená v FQDN alebo názve hostiteľa, ktorý ste nastavili pre uzol. Veľké písmená momentálne nie sú podporované.

                                                                                                                                                    • Celková dĺžka FQDN nesmie presiahnuť 64 znakov.

                                                                                                                                                  • IP adresa— Zadajte IP adresu interného rozhrania uzla.

                                                                                                                                                     

                                                                                                                                                    Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  • Maska— Zadajte adresu masky podsiete v desiatkovom formáte bodka. Napríklad, 255.255.255.0.
                                                                                                                                                  • Brána— Zadajte IP adresu brány. Brána je sieťový uzol, ktorý slúži ako prístupový bod do inej siete.
                                                                                                                                                  • DNS servery— Zadajte čiarkami oddelený zoznam serverov DNS, ktoré sa starajú o preklad názvov domén na číselné adresy IP. (Povolené sú až 4 záznamy DNS.)
                                                                                                                                                  • NTP servery—Zadajte server NTP vašej organizácie alebo iný externý server NTP, ktorý možno použiť vo vašej organizácii. Predvolené servery NTP nemusia fungovať pre všetky podniky. Na zadanie viacerých serverov NTP môžete použiť aj zoznam oddelený čiarkami.
                                                                                                                                                  • Nasaďte všetky uzly v rovnakej podsieti alebo VLAN, aby boli všetky uzly v klastri dosiahnuteľné z klientov vo vašej sieti na administratívne účely.

                                                                                                                                                  Ak chcete, môžete preskočiť konfiguráciu nastavenia siete a postupovať podľa krokov v Nastavte virtuálny počítač Hybrid Data Security na konfiguráciu nastavení z konzoly uzla.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  11

                                                                                                                                                  Kliknite pravým tlačidlom myši na uzol VM a potom vyberte Moc > Zapnutie .

                                                                                                                                                  Softvér Hybrid Data Security je nainštalovaný ako hosť na hostiteľovi VM. Teraz ste pripravení prihlásiť sa do konzoly a nakonfigurovať uzol.

                                                                                                                                                  Tipy na riešenie problémov

                                                                                                                                                  Môžete zaznamenať oneskorenie niekoľkých minút, kým sa kontajnery uzlov objavia. Počas prvého spustenia, počas ktorého sa nemôžete prihlásiť, sa na konzole zobrazí správa brány firewall mosta.

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Tento postup použite na prvé prihlásenie do konzoly VM uzla Hybrid Data Security a nastavenie prihlasovacích poverení. Konzolu môžete použiť aj na konfiguráciu sieťových nastavení pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  1

                                                                                                                                                  V klientovi VMware vSphere vyberte svoj uzol Hybrid Data Security VM a vyberte Konzola tab.

                                                                                                                                                  VM sa spustí a zobrazí sa výzva na prihlásenie. Ak sa výzva na prihlásenie nezobrazí, stlačte Zadajte.
                                                                                                                                                  2

                                                                                                                                                  Na prihlásenie a zmenu poverení použite nasledujúce predvolené prihlasovacie meno a heslo:

                                                                                                                                                  1. Prihlásiť sa: admin

                                                                                                                                                  2. heslo: cisco

                                                                                                                                                  Keďže sa do svojho VM prihlasujete prvýkrát, musíte zmeniť heslo správcu.

                                                                                                                                                  3

                                                                                                                                                  Ak ste už nakonfigurovali nastavenia siete v Nainštalujte HDS Host OVA, preskočte zvyšok tohto postupu. V opačnom prípade vyberte v hlavnom menu položku Upraviť konfiguráciu možnosť.

                                                                                                                                                  4

                                                                                                                                                  Nastavte statickú konfiguráciu s IP adresou, maskou, bránou a informáciami DNS. Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  5

                                                                                                                                                  (Voliteľné) Zmeňte názov hostiteľa, doménu alebo server(y) NTP, ak je to potrebné, aby zodpovedali zásadám vašej siete.

                                                                                                                                                  Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                  6

                                                                                                                                                  Uložte konfiguráciu siete a reštartujte VM, aby sa zmeny prejavili.

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Tento postup použite na konfiguráciu virtuálneho počítača zo súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pretože súbor ISO obsahuje hlavný kľúč, mal by byť zverejnený iba na základe „potreby vedieť“, aby k nemu mali prístup virtuálne počítače s hybridným zabezpečením údajov a všetci správcovia, ktorí môžu potrebovať vykonať zmeny. Uistite sa, že k úložisku údajov majú prístup iba títo správcovia.

                                                                                                                                                  1

                                                                                                                                                  Nahrajte súbor ISO z počítača:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite na server ESXi.

                                                                                                                                                  2. Na karte Konfigurácia v zozname Hardvér kliknite na Skladovanie.

                                                                                                                                                  3. V zozname Úložisko údajov kliknite pravým tlačidlom myši na úložisko údajov pre vaše VM a kliknite Prehľadávať Datastore.

                                                                                                                                                  4. Kliknite na ikonu Nahrať súbory a potom kliknite na Nahrajte súbor.

                                                                                                                                                  5. Prejdite do umiestnenia, z ktorého ste si stiahli súbor ISO do počítača, a kliknite OTVORENÉ.

                                                                                                                                                  6. Kliknite Áno akceptujte varovanie o operácii nahrávania/sťahovania a zatvorte dialógové okno úložiska údajov.

                                                                                                                                                  2

                                                                                                                                                  Pripojte súbor ISO:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  2. Kliknite OK akceptujete varovanie s obmedzenými možnosťami úprav.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO úložiska údajov a prejdite do umiestnenia, kam ste nahrali konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojené a Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a reštartujte virtuálny počítač.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak to vyžaduje vaša politika IT, môžete voliteľne odpojiť súbor ISO po tom, čo všetky vaše uzly prevezmú zmeny konfigurácie. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje server proxy, použite tento postup na určenie typu servera proxy, s ktorým sa chcete integrovať Hybridná bezpečnosť dát. Ak si vyberiete transparentný kontrolný proxy server alebo explicitný proxy server HTTPS, môžete použiť rozhranie uzla na nahranie a inštaláciu koreňového certifikátu. Môžete tiež skontrolovať pripojenie proxy z rozhrania a vyriešiť prípadné problémy.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  1

                                                                                                                                                  Zadajte adresu URL nastavenia uzla HDS https://[HDS Node IP or FQDN]/setup vo webovom prehliadači zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Trust Store a proxya potom vyberte možnosť:

                                                                                                                                                  • Žiadny proxy– Predvolená možnosť pred integráciou servera proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný nekontrolujúci zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný kontrolný zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera. Na serveri nie sú potrebné žiadne zmeny konfigurácie HTTPS Hybridná bezpečnosť dát nasadenie, uzly HDS však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).
                                                                                                                                                  • Explicitný proxy—Pri explicitnom serveri proxy poviete klientovi (uzly HDS), ktorý server proxy má použiť, a táto možnosť podporuje niekoľko typov autentifikácie. Po výbere tejto možnosti musíte zadať nasledujúce informácie:
                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol— Vyberte si http (prezerá a kontroluje všetky požiadavky, ktoré sú prijaté od klienta) resp https (poskytuje kanál pre server a klient prijíma a overuje certifikát servera). Vyberte možnosť podľa toho, čo váš proxy server podporuje.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné iba pre servery proxy HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                  Postupujte podľa nasledujúcich krokov pre transparentný kontrolný proxy server, explicitný proxy server HTTP so základným overením alebo explicitný proxy HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Kliknite Nahrajte koreňový certifikát alebo certifikát koncovej entitya potom prejdite na výber koreňového certifikátu pre server proxy.

                                                                                                                                                  Certifikát je nahraný, ale ešte nie je nainštalovaný, pretože na inštaláciu certifikátu musíte reštartovať uzol. Kliknutím na šípku v tvare šípky vedľa názvu vydavateľa certifikátu získate ďalšie podrobnosti alebo kliknite Odstrániť ak ste urobili chybu a chcete súbor znova nahrať.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy na testovanie sieťového pripojenia medzi uzlom a proxy.

                                                                                                                                                  Ak test pripojenia zlyhá, zobrazí sa chybové hlásenie, ktoré uvádza dôvod a spôsob, ako môžete problém vyriešiť.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS. Tento stav sa očakáva v mnohých explicitných konfiguráciách proxy. Môžete pokračovať v nastavovaní a uzol bude fungovať v režime zablokovaného externého rozlíšenia DNS. Ak si myslíte, že ide o chybu, vykonajte tieto kroky a potom uvidíte Vypnite režim zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  5

                                                                                                                                                  Po úspešnom teste pripojenia zapnite prepínač v prípade explicitného servera proxy nastaveného iba na https Smerujte všetky požiadavky https z tohto uzla na port 443/444 cez explicitný proxy server. Toto nastavenie sa prejaví po 15 sekundách.

                                                                                                                                                  6

                                                                                                                                                  Kliknite Nainštalujte všetky certifikáty do dôveryhodného úložiska (zobrazí sa pri explicitnom HTTPS proxy alebo transparentnom kontrolnom proxy serveri) alebo Reštartovať (zobrazí sa pri explicitnom serveri proxy HTTP), prečítajte si výzvu a potom kliknite Inštalácia ak si pripravený.

                                                                                                                                                  Uzol sa reštartuje v priebehu niekoľkých minút.

                                                                                                                                                  7

                                                                                                                                                  Po reštartovaní uzla sa v prípade potreby znova prihláste a potom otvorte Prehľad stránku a skontrolujte kontroly pripojenia, aby ste sa uistili, že sú všetky v zelenom stave.

                                                                                                                                                  Kontrola pripojenia proxy testuje iba subdoménu webex.com. Ak sa vyskytnú problémy s pripojením, bežným problémom je, že niektoré z cloudových domén uvedených v pokynoch na inštaláciu sú na serveri proxy blokované.

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Táto úloha preberá všeobecný uzol, ktorý ste vytvorili v Nastavte virtuálny počítač Hybrid Data Security, zaregistruje uzol do cloudu Webex a zmení ho na uzol Hybrid Data Security.

                                                                                                                                                  Keď zaregistrujete svoj prvý uzol, vytvoríte klaster, ku ktorému je uzol priradený. Klaster obsahuje jeden alebo viac uzlov nasadených na zabezpečenie redundancie.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  V ponuke na ľavej strane obrazovky vyberte položku Služby.

                                                                                                                                                  3

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite Nastaviť.

                                                                                                                                                  Zobrazí sa stránka Register Hybrid Data Security Node.
                                                                                                                                                  4

                                                                                                                                                  Vyberte Áno na označenie, že ste uzol nastavili a ste pripravení ho zaregistrovať, a potom kliknite Ďalšie.

                                                                                                                                                  5

                                                                                                                                                  Do prvého poľa zadajte názov klastra, ku ktorému chcete priradiť váš uzol Hybrid Data Security.

                                                                                                                                                  Odporúčame pomenovať klaster podľa toho, kde sa geograficky nachádzajú uzly klastra. Príklady: „San Francisco“ alebo „New York“ alebo „Dallas“

                                                                                                                                                  6

                                                                                                                                                  Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                  Táto adresa IP alebo FQDN by sa mala zhodovať s adresou IP alebo názvom hostiteľa a doménou, ktorú ste použili Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  Zobrazí sa správa, že môžete zaregistrovať svoj uzol do Webexu.
                                                                                                                                                  7

                                                                                                                                                  Kliknite Prejdite na Node.

                                                                                                                                                  8

                                                                                                                                                  Kliknite ďalej vo varovnej správe.

                                                                                                                                                  Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že svojej organizácii Webex chcete udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  9

                                                                                                                                                  Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                  Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  10

                                                                                                                                                  Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Na Hybridná bezpečnosť dát sa zobrazí nový klaster obsahujúci uzol, ktorý ste zaregistrovali. Uzol si automaticky stiahne najnovší softvér z cloudu.

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Ak chcete do svojho klastra pridať ďalšie uzly, jednoducho vytvoríte ďalšie virtuálne počítače a pripojíte rovnaký konfiguračný súbor ISO a potom uzol zaregistrujete. Odporúčame, aby ste mali aspoň 3 uzly.

                                                                                                                                                   

                                                                                                                                                  V súčasnosti sú záložné virtuálne počítače, ktoré ste vytvorili Vyplňte Predpoklady pre hybridnú bezpečnosť údajov sú pohotovostní hostitelia, ktorí sa používajú iba v prípade obnovy po havárii; dovtedy nie sú registrovaní v systéme. Podrobnosti nájdete v časti Obnova po havárii pomocou pohotovostného dátového centra.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Vytvorte nový virtuálny počítač z OVA zopakovaním krokov Nainštalujte HDS Host OVA.

                                                                                                                                                  2

                                                                                                                                                  Nastavte počiatočnú konfiguráciu na novom VM zopakovaním krokov v Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Na novom virtuálnom počítači zopakujte kroky v Nahrajte a pripojte ISO konfiguráciu HDS.

                                                                                                                                                  4

                                                                                                                                                  Ak nastavujete server proxy pre svoje nasadenie, zopakujte kroky v Nakonfigurujte uzol HDS na integráciu proxy podľa potreby pre nový uzol.

                                                                                                                                                  5

                                                                                                                                                  Zaregistrujte uzol.

                                                                                                                                                  1. In https://admin.webex.com, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2. V časti Hybridné služby nájdite kartu Hybrid Data Security a kliknite na ňu Zdroje.

                                                                                                                                                    Zobrazí sa stránka Hybrid Data Security Resources.
                                                                                                                                                  3. Kliknite Pridať zdroj.

                                                                                                                                                  4. V prvom poli vyberte názov vášho existujúceho klastra.

                                                                                                                                                  5. Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                    Zobrazí sa správa oznamujúca, že svoj uzol môžete zaregistrovať do cloudu Webex.
                                                                                                                                                  6. Kliknite Prejdite na Node.

                                                                                                                                                    Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že chcete svojej organizácii udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  7. Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                    Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  8. Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Váš uzol je zaregistrovaný. Upozorňujeme, že kým nezačnete skúšobnú verziu, vaše uzly generujú alarm, ktorý oznamuje, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)
                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby

                                                                                                                                                  Skúšobný postup produkčných úloh

                                                                                                                                                  Po nastavení klastra Hybrid Data Security môžete spustiť pilotný test, pridať doň používateľov a začať ho používať na testovanie a overovanie vášho nasadenia v rámci prípravy na prechod do produkcie.

                                                                                                                                                  1

                                                                                                                                                  V prípade potreby synchronizujte HdsTrialGroup skupinový objekt.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu pred spustením skúšobnej verzie. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Začnite skúšobnú verziu. Kým nevykonáte túto úlohu, vaše uzly generujú alarm, ktorý oznamuje, že služba ešte nie je aktivovaná.

                                                                                                                                                  3

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Skontrolujte, či kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Skontrolujte stav a nastavte e-mailové upozornenia na budíky.

                                                                                                                                                  5

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  6

                                                                                                                                                  Dokončite skúšobnú fázu jedným z nasledujúcich krokov:

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu predtým, ako začnete skúšobnú verziu pre vašu organizáciu. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Spustiť skúšku.

                                                                                                                                                  Stav služby sa zmení na skúšobný režim.
                                                                                                                                                  4

                                                                                                                                                  Kliknite Pridať používateľov a zadajte e-mailovú adresu jedného alebo viacerých používateľov na pilotné používanie vašich uzlov Hybrid Data Security na šifrovacie a indexovacie služby.

                                                                                                                                                  (Ak vaša organizácia používa synchronizáciu adresárov, na správu skúšobnej skupiny použite službu Active Directory, HdsTrialGroup.)

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Tento postup použite na testovanie scenárov šifrovania Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nastavte nasadenie Hybrid Data Security.

                                                                                                                                                  • Aktivujte skúšobnú verziu a pridajte niekoľko používateľov skúšobnej verzie.

                                                                                                                                                  • Uistite sa, že máte prístup k syslog, aby ste si overili, že kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Prihláste sa do aplikácie Webex ako jeden z pilotných používateľov a potom vytvorte priestor a pozvite aspoň jedného pilotného používateľa a jedného nepilotného používateľa.


                                                                                                                                                   

                                                                                                                                                  Ak deaktivujete nasadenie Hybrid Data Security, obsah v priestoroch, ktoré vytvoria pilotní používatelia, už nebude prístupný po výmene kópií šifrovacích kľúčov uložených vo vyrovnávacej pamäti klienta.

                                                                                                                                                  2

                                                                                                                                                  Posielajte správy do nového priestoru.

                                                                                                                                                  3

                                                                                                                                                  Skontrolujte výstup syslog, aby ste si overili, že požiadavky na kľúče prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1. Ak chcete skontrolovať, či používateľ najprv vytvoril zabezpečený kanál pre KMS, filtrujte kms.data.method=create a kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam, ako je tento (identifikátory skrátené kvôli čitateľnosti):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Ak chcete skontrolovať používateľa, ktorý požaduje existujúci kľúč z KMS, filtrujte kms.data.method=retrieve a kms.data.type=KEY:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Ak chcete skontrolovať používateľa požadujúceho vytvorenie nového kľúča KMS, filtrujte kms.data.method=create a kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Ak chcete pri vytváraní priestoru alebo iného chráneného zdroja skontrolovať používateľa požadujúceho vytvorenie nového objektu KMS (KRO), filtrujte na kms.data.method=create a kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Indikátor stavu v Control Hub vám ukáže, či je s nasadením Hybrid Data Security všetko v poriadku. Ak chcete dostávať proaktívnejšie upozornenia, prihláste sa na odber e-mailových upozornení. Budete upozornení, keď sa vyskytnú alarmy alebo aktualizácie softvéru ovplyvňujúce službu.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite nastavenie.

                                                                                                                                                  Zobrazí sa stránka Hybrid Data Security Settings.
                                                                                                                                                  3

                                                                                                                                                  V časti E-mailové upozornenia zadajte jednu alebo viac e-mailových adries oddelených čiarkami a stlačte Zadajte.

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  Po aktivácii skúšobnej verzie a pridaní počiatočnej skupiny používateľov skúšobnej verzie môžete členov skúšobnej verzie kedykoľvek pridať alebo odstrániť, kým je skúšobná verzia aktívna.

                                                                                                                                                  Ak odstránite používateľa zo skúšobnej verzie, klient tohto používateľa bude namiesto vášho KMS požadovať kľúče a vytvorenie kľúča z cloudového KMS. Ak klient potrebuje kľúč, ktorý je uložený vo vašom KMS, cloudový KMS ho načíta v mene používateľa.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, použite Active Directory (namiesto tohto postupu) na správu skúšobnej skupiny, HdsTrialGroup; členov skupiny môžete zobraziť v Control Hub, ale nemôžete ich pridávať ani odstraňovať.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Skúšobný režim v oblasti Stav služby kliknite na Pridať používateľov, alebo kliknite zobraziť a upraviť na odstránenie používateľov zo skúšobnej verzie.

                                                                                                                                                  4

                                                                                                                                                  Zadajte e-mailovú adresu jedného alebo viacerých používateľov, ktorých chcete pridať, alebo kliknite na X pomocou ID používateľa na odstránenie používateľa zo skúšobnej verzie. Potom kliknite Uložiť.

                                                                                                                                                  Presuňte sa zo skúšobnej do produkčnej verzie

                                                                                                                                                  Keď ste spokojní, že vaše nasadenie funguje dobre pre skúšobných používateľov, môžete prejsť do produkcie. Keď prejdete do produkcie, všetci používatelia v organizácii budú používať vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Z produkcie sa nemôžete vrátiť späť do skúšobného režimu, pokiaľ službu nedeaktivujete ako súčasť obnovy po havárii. Opätovná aktivácia služby vyžaduje nastavenie novej skúšobnej verzie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Presunúť do výroby.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete presunúť všetkých svojich používateľov do produkcie.

                                                                                                                                                  Ukončite skúšobnú verziu bez presunu do výroby

                                                                                                                                                  Ak sa počas skúšobného obdobia rozhodnete nepokračovať v nasadení Hybrid Data Security, môžete deaktivovať Hybrid Data Security, čím sa skúšobná verzia ukončí a skúšobní používatelia sa presunú späť ku cloudovým službám zabezpečenia údajov. Používatelia skúšobnej verzie stratia prístup k údajom, ktoré boli počas skúšobnej verzie zašifrované.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Deaktivovať kliknite na Deaktivovať.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete službu deaktivovať a ukončiť skúšobnú verziu.

                                                                                                                                                  Spravujte svoje nasadenie HDS

                                                                                                                                                  Spravujte nasadenie HDS

                                                                                                                                                  Pomocou tu popísaných úloh spravujte svoje nasadenie Hybrid Data Security.

                                                                                                                                                  Nastavte plán aktualizácie klastra

                                                                                                                                                  Aktualizácie softvéru pre Hybrid Data Security sa vykonávajú automaticky na úrovni klastra, čo zaisťuje, že všetky uzly vždy bežia s rovnakou verziou softvéru. Inovácie sa vykonávajú podľa plánu aktualizácie pre klaster. Keď bude k dispozícii aktualizácia softvéru, máte možnosť manuálne aktualizovať klaster pred plánovaným časom aktualizácie. Môžete nastaviť konkrétny plán inovácie alebo použiť predvolený plán na 3:00 denne v USA: Amerika/Los Angeles. V prípade potreby môžete tiež odložiť nadchádzajúcu inováciu.

                                                                                                                                                  Ak chcete nastaviť plán aktualizácie:

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Na stránke Prehľad v časti Hybridné služby vyberte Hybridná bezpečnosť dát.

                                                                                                                                                  3

                                                                                                                                                  Na stránke Hybrid Data Security Resources vyberte klaster.

                                                                                                                                                  4

                                                                                                                                                  Na paneli Prehľad vpravo v časti Nastavenia klastra vyberte názov klastra.

                                                                                                                                                  5

                                                                                                                                                  Na stránke Nastavenia v časti Aktualizácia vyberte čas a časové pásmo pre plán inovácie.

                                                                                                                                                  Poznámka: Pod časovým pásmom sa zobrazí dátum a čas ďalšej dostupnej aktualizácie. Kliknutím na tlačidlo môžete v prípade potreby odložiť aktualizáciu na nasledujúci deň Odložiť.

                                                                                                                                                  Zmeňte konfiguráciu uzla

                                                                                                                                                  Príležitostne možno budete musieť zmeniť konfiguráciu uzla Hybrid Data Security z nasledujúcich dôvodov:
                                                                                                                                                  • Zmena x.509 certifikátov z dôvodu uplynutia platnosti alebo iných dôvodov.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme zmenu názvu domény CN certifikátu. Doména sa musí zhodovať s pôvodnou doménou použitou na registráciu klastra.

                                                                                                                                                  • Aktualizácia nastavení databázy pre zmenu na repliku databázy PostgreSQL alebo Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server alebo opačným spôsobom. Ak chcete zmeniť prostredie databázy, spustite nové nasadenie Hybrid Data Security.

                                                                                                                                                  • Vytvorenie novej konfigurácie na prípravu nového dátového centra.

                                                                                                                                                  Z bezpečnostných dôvodov používa Hybrid Data Security heslá servisných účtov, ktoré majú životnosť deväť mesiacov. Keď nástroj HDS Setup vygeneruje tieto heslá, nasadíte ich do každého z vašich uzlov HDS v konfiguračnom súbore ISO. Keď sa blíži koniec platnosti hesiel vašej organizácie, dostanete od tímu Webex upozornenie na resetovanie hesla pre váš počítačový účet. (E-mail obsahuje text „Na aktualizáciu hesla použite rozhranie API strojového účtu.“) Ak platnosť vašich hesiel ešte nevypršala, nástroj vám ponúka dve možnosti:

                                                                                                                                                  • Mäkký reset—Staré aj nové heslo fungujú až 10 dní. Toto obdobie použite na postupnú výmenu súboru ISO na uzloch.

                                                                                                                                                  • Tvrdý reštart—Staré heslá okamžite prestanú fungovať.

                                                                                                                                                  Ak platnosť vašich hesiel vyprší bez resetovania, ovplyvní to vašu službu HDS, čo si vyžaduje okamžitý tvrdý reset a nahradenie súboru ISO na všetkých uzloch.

                                                                                                                                                  Tento postup použite na vygenerovanie nového konfiguračného súboru ISO a jeho použitie vo vašom klastri.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak je nástroj HDS Setup vo vašom prostredí spustený za serverom proxy, pri spúšťaní kontajnera Docker zadajte nastavenia proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 1.e. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Na vygenerovanie novej konfigurácie potrebujete kópiu aktuálneho konfiguračného súboru ISO. ISO obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. ISO potrebujete, keď robíte zmeny v konfigurácii vrátane poverení databázy, aktualizácií certifikátov alebo zmien v politike autorizácie.

                                                                                                                                                  1

                                                                                                                                                  Pomocou Docker na lokálnom počítači spustite nástroj HDS Setup Tool.

                                                                                                                                                  1. Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2. Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Uistite sa, že ste na tento postup použili najnovší nástroj Setup. Verzie nástroja vytvorené pred 22. februárom 2018 neobsahujú obrazovky na obnovenie hesla.

                                                                                                                                                  5. Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    • V bežných prostrediach bez servera proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V prostrediach FedRAMP bez proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6. Použite prehliadač na pripojenie k localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  7. Po zobrazení výzvy zadajte svoje prihlasovacie údaje zákazníka Control Hub a potom kliknite súhlasiť pokračovať.

                                                                                                                                                  8. Importujte aktuálny konfiguračný súbor ISO.

                                                                                                                                                  9. Postupujte podľa pokynov na dokončenie nástroja a stiahnite si aktualizovaný súbor.

                                                                                                                                                    Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  10. Vytvorte záložnú kópiu aktualizovaného súboru v inom údajovom centre.

                                                                                                                                                  2

                                                                                                                                                  Ak máte spustený iba jeden uzol HDS, vytvorte nový VM uzla Hybrid Data Security a zaregistrujte ho pomocou nového konfiguračného súboru ISO. Podrobnejšie pokyny nájdete v časti Vytvorte a zaregistrujte viac uzlov.

                                                                                                                                                  1. Nainštalujte hostiteľský OVA HDS.

                                                                                                                                                  2. Nastavte HDS VM.

                                                                                                                                                  3. Pripojte aktualizovaný konfiguračný súbor.

                                                                                                                                                  4. Zaregistrujte nový uzol v Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pre existujúce uzly HDS, na ktorých je spustený starší konfiguračný súbor, pripojte súbor ISO. Postupne vykonajte nasledujúci postup na každom uzle, pričom aktualizujte každý uzol pred vypnutím ďalšieho uzla:

                                                                                                                                                  1. Vypnite virtuálny stroj.

                                                                                                                                                  2. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO a prejdite do umiestnenia, kam ste stiahli nový konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a zapnite virtuálny počítač.

                                                                                                                                                  4

                                                                                                                                                  Opakujte krok 3, aby ste nahradili konfiguráciu na každom zostávajúcom uzle, na ktorom je spustená stará konfigurácia.

                                                                                                                                                  Vypnite režim zablokovaného externého rozlíšenia DNS

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. Ak server DNS uzla nedokáže rozlíšiť verejné názvy DNS, uzol automaticky prejde do režimu zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  Ak vaše uzly dokážu rozlíšiť verejné názvy DNS prostredníctvom interných serverov DNS, môžete tento režim vypnúť opätovným spustením testu pripojenia proxy na každom uzle.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Uistite sa, že vaše interné servery DNS dokážu rozlíšiť verejné názvy DNS a že vaše uzly s nimi môžu komunikovať.
                                                                                                                                                  1

                                                                                                                                                  Vo webovom prehliadači otvorte rozhranie uzla Hybrid Data Security (IP adresa/nastavenie, napr. https://192.0.2.0/setup), zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Prehľad (predvolená stránka).

                                                                                                                                                  Keď je povolené, Zablokované externé rozlíšenie DNS je nastavený na Áno.

                                                                                                                                                  3

                                                                                                                                                  Choďte na Trust Store a proxy stránku.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS a zostane v tomto režime. V opačnom prípade po reštartovaní uzla a návrate do Prehľad na stránke Blocked External DNS Resolution by mala byť nastavená na no.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zopakujte test pripojenia proxy na každom uzle v klastri Hybrid Data Security.

                                                                                                                                                  Odstráňte uzol

                                                                                                                                                  Tento postup použite na odstránenie uzla Hybrid Data Security z cloudu Webex. Po odstránení uzla z klastra odstráňte virtuálny počítač, aby ste zabránili ďalšiemu prístupu k vašim bezpečnostným údajom.
                                                                                                                                                  1

                                                                                                                                                  Pomocou klienta VMware vSphere vo svojom počítači sa prihláste do virtuálneho hostiteľa ESXi a vypnite virtuálny počítač.

                                                                                                                                                  2

                                                                                                                                                  Odstráňte uzol:

                                                                                                                                                  1. Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2. Na karte Hybrid Data Security kliknite na Zobraziť všetko zobrazíte stránku Hybrid Data Security Resources.

                                                                                                                                                  3. Vyberte svoj klaster, aby sa zobrazil jeho panel Prehľad.

                                                                                                                                                  4. Kliknite Otvorte zoznam uzlov.

                                                                                                                                                  5. Na karte Uzly vyberte uzol, ktorý chcete odstrániť.

                                                                                                                                                  6. Kliknite Akcie > Zrušte registráciu uzla.

                                                                                                                                                  3

                                                                                                                                                  V klientovi vSphere odstráňte VM. (Na ľavom navigačnom paneli kliknite pravým tlačidlom myši na VM a kliknite na Odstrániť.)

                                                                                                                                                  Ak nevymažete VM, nezabudnite odpojiť konfiguračný súbor ISO. Bez súboru ISO nemôžete použiť VM na prístup k bezpečnostným údajom.

                                                                                                                                                  Obnova po havárii pomocou pohotovostného dátového centra

                                                                                                                                                  Najdôležitejšou službou, ktorú váš klaster Hybrid Data Security poskytuje, je vytváranie a ukladanie kľúčov používaných na šifrovanie správ a iného obsahu uloženého v cloude Webex. Pre každého používateľa v rámci organizácie, ktorý je priradený k Hybrid Data Security, sú do klastra smerované nové požiadavky na vytvorenie kľúča. Klaster je tiež zodpovedný za vrátenie kľúčov, ktoré vytvoril, všetkým používateľom oprávneným na ich získanie, napríklad členom konverzačného priestoru.

                                                                                                                                                  Pretože klaster vykonáva kritickú funkciu poskytovania týchto kľúčov, je nevyhnutné, aby klaster zostal spustený a aby boli udržiavané správne zálohy. Strata databázy Hybrid Data Security alebo konfigurácie ISO použitej pre schému bude mať za následok NENÁVRATNÚ STRATU zákazníckeho obsahu. Aby sa predišlo takejto strate, sú povinné nasledujúce postupy:

                                                                                                                                                  Ak havária spôsobí, že nasadenie HDS v primárnom dátovom centre sa stane nedostupným, podľa tohto postupu manuálne prepnite na pohotovostné dátové centrum.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie alebo odstráňte passiveMode konfiguráciu, aby bol uzol aktívny. Keď je toto nakonfigurované, uzol môže spracovať prevádzku.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte výstup syslog a overte, či uzly pohotovostného dátového centra nie sú v pasívnom režime. V syslogoch by sa nemalo objaviť „KMS nakonfigurované v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak sa po prepnutí pri zlyhaní opäť aktivuje primárne dátové centrum, uveďte pohotovostné dátové centrum opäť do pasívneho režimu podľa krokov popísaných v časti Nastavte pohotovostné dátové centrum pre obnovu po havárii.

                                                                                                                                                  (Voliteľné) Odpojte ISO po konfigurácii HDS

                                                                                                                                                  Štandardná konfigurácia HDS beží s namontovaným ISO. Niektorí zákazníci však uprednostňujú neponechať súbory ISO nepretržite pripojené. Súbor ISO môžete odpojiť potom, čo všetky uzly HDS prevezmú novú konfiguráciu.

                                                                                                                                                  Na vykonanie zmien v konfigurácii stále používate súbory ISO. Keď vytvoríte nový ISO alebo aktualizujete ISO pomocou nástroja Setup Tool, musíte aktualizovaný ISO pripojiť na všetky vaše uzly HDS. Keď všetky vaše uzly zachytia zmeny konfigurácie, môžete ISO znova odpojiť pomocou tohto postupu.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Inovujte všetky svoje uzly HDS na verziu 2021.01.22.4720 alebo novšiu.

                                                                                                                                                  1

                                                                                                                                                  Vypnite jeden z uzlov HDS.

                                                                                                                                                  2

                                                                                                                                                  V serverovom zariadení vCenter vyberte uzol HDS.

                                                                                                                                                  3

                                                                                                                                                  Vyberte si Upraviť nastavenia > CD/DVD mechanika a zrušte začiarknutie Súbor ISO úložiska údajov.

                                                                                                                                                  4

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 20 minút nie sú žiadne alarmy.

                                                                                                                                                  5

                                                                                                                                                  Postup opakujte pre každý uzol HDS.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Zobraziť upozornenia a riešenie problémov

                                                                                                                                                  Nasadenie Hybrid Data Security sa považuje za nedostupné, ak sú všetky uzly v klastri nedostupné alebo klaster pracuje tak pomaly, že si vyžaduje časový limit. Ak používatelia nemôžu dosiahnuť váš klaster Hybrid Data Security, zaznamenajú nasledujúce príznaky:

                                                                                                                                                  • Nie je možné vytvoriť nové medzery (nemožno vytvoriť nové kľúče)

                                                                                                                                                  • Správy a názvy priestorov sa nepodarilo dešifrovať pre:

                                                                                                                                                    • Noví používatelia pridaní do priestoru (nemožno načítať kľúče)

                                                                                                                                                    • Existujúci používatelia v priestore používajúci nového klienta (nemožno načítať kľúče)

                                                                                                                                                  • Existujúci používatelia v priestore budú naďalej úspešne fungovať, pokiaľ budú mať ich klienti vyrovnávaciu pamäť šifrovacích kľúčov

                                                                                                                                                  Je dôležité, aby ste správne monitorovali svoj klaster Hybrid Data Security a okamžite riešili všetky výstrahy, aby ste predišli prerušeniu služby.

                                                                                                                                                  Upozornenia

                                                                                                                                                  Ak sa vyskytne problém s nastavením Hybrid Data Security, Control Hub zobrazí upozornenia správcovi organizácie a odošle e-maily na nakonfigurovanú e-mailovú adresu. Výstrahy pokrývajú mnoho bežných scenárov.

                                                                                                                                                  Tabuľka č. 1 Bežné problémy a kroky na ich vyriešenie

                                                                                                                                                  Upozornenie

                                                                                                                                                  Akcia

                                                                                                                                                  Zlyhanie prístupu k lokálnej databáze.

                                                                                                                                                  Skontrolujte chyby databázy alebo problémy s lokálnou sieťou.

                                                                                                                                                  Zlyhanie pripojenia k lokálnej databáze.

                                                                                                                                                  Skontrolujte, či je databázový server dostupný a či boli v konfigurácii uzla použité správne poverenia servisného účtu.

                                                                                                                                                  Zlyhanie prístupu k cloudovej službe.

                                                                                                                                                  Skontrolujte, či majú uzly prístup k serverom Webex, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  Obnovuje sa registrácia cloudovej služby.

                                                                                                                                                  Registrácia do cloudových služieb bola zrušená. Prebieha obnova registrácie.

                                                                                                                                                  Registrácia cloudovej služby bola zrušená.

                                                                                                                                                  Registrácia do cloudových služieb bola ukončená. Služba sa vypína.

                                                                                                                                                  Služba ešte nie je aktivovaná.

                                                                                                                                                  Aktivujte skúšobnú verziu alebo dokončite presun skúšky do produkcie.

                                                                                                                                                  Nakonfigurovaná doména sa nezhoduje s certifikátom servera.

                                                                                                                                                  Uistite sa, že váš certifikát servera sa zhoduje s nakonfigurovanou doménou aktivácie služby.

                                                                                                                                                  Najpravdepodobnejšou príčinou je, že certifikát CN bol nedávno zmenený a teraz sa líši od CN, ktorý bol použitý počas počiatočného nastavenia.

                                                                                                                                                  Nepodarilo sa overiť v cloudových službách.

                                                                                                                                                  Skontrolujte presnosť a možné vypršanie platnosti poverení servisného účtu.

                                                                                                                                                  Nepodarilo sa otvoriť súbor lokálneho úložiska kľúčov.

                                                                                                                                                  Skontrolujte integritu a presnosť hesla v lokálnom súbore skladu kľúčov.

                                                                                                                                                  Certifikát lokálneho servera je neplatný.

                                                                                                                                                  Skontrolujte dátum vypršania platnosti certifikátu servera a potvrďte, že bol vydaný dôveryhodnou certifikačnou autoritou.

                                                                                                                                                  Nie je možné uverejniť metriky.

                                                                                                                                                  Skontrolujte prístup k lokálnej sieti k externým cloudovým službám.

                                                                                                                                                  Adresár /media/configdrive/hds neexistuje.

                                                                                                                                                  Skontrolujte konfiguráciu pripojenia ISO na virtuálnom hostiteľovi. Overte, či súbor ISO existuje, či je nakonfigurovaný na pripojenie pri reštarte a či sa úspešne pripojí.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Pri riešení problémov s Hybrid Data Security použite nasledujúce všeobecné pokyny.
                                                                                                                                                  1

                                                                                                                                                  Skontrolujte si v Control Hub všetky upozornenia a opravte všetky položky, ktoré tam nájdete.

                                                                                                                                                  2

                                                                                                                                                  Skontrolujte výstup servera syslog pre aktivitu z nasadenia Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Kontakt Podpora Cisco.

                                                                                                                                                  Ďalšie poznámky

                                                                                                                                                  Známe problémy s hybridnou bezpečnosťou dát

                                                                                                                                                  • Ak vypnete svoj klaster Hybrid Data Security (odstránením v Control Hub alebo vypnutím všetkých uzlov), stratíte svoj konfiguračný súbor ISO alebo stratíte prístup k databáze úložiska kľúčov, používatelia vašej aplikácie Webex App už nebudú môcť používať priestory pod svojimi ľuďmi. zoznam, ktorý bol vytvorený pomocou kľúčov z vášho KMS. Platí to pre skúšobné aj produkčné nasadenia. V súčasnosti nemáme riešenie ani opravu tohto problému a žiadame vás, aby ste nevypínali svoje služby HDS, keď budú spracovávať aktívne používateľské účty.

                                                                                                                                                  • Klient, ktorý má existujúce pripojenie ECDH ku KMS, udržiava toto pripojenie určitý čas (pravdepodobne jednu hodinu). Keď sa používateľ stane členom skúšobnej verzie Hybrid Data Security, klient používateľa naďalej používa existujúce pripojenie ECDH, kým nevyprší časový limit. Prípadne sa používateľ môže odhlásiť a znova prihlásiť do aplikácie Webex App, aby aktualizoval umiestnenie, ktoré aplikácia kontaktuje pre šifrovacie kľúče.

                                                                                                                                                    Rovnaké správanie nastane, keď presuniete skúšobnú verziu do produkcie organizácie. Všetci neskúšobní používatelia s existujúcimi pripojeniami ECDH k predchádzajúcim službám zabezpečenia údajov budú tieto služby naďalej používať, kým sa znovu nedohodne pripojenie ECDH (prostredníctvom časového limitu alebo odhlásením a opätovným prihlásením).

                                                                                                                                                  Na vygenerovanie súboru PKCS12 použite OpenSSL

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • OpenSSL je jeden nástroj, ktorý možno použiť na vytvorenie súboru PKCS12 v správnom formáte na načítanie v nástroji HDS Setup Tool. Existujú aj iné spôsoby, ako to urobiť, a my nepodporujeme ani nepresadzujeme jeden spôsob oproti druhému.

                                                                                                                                                  • Ak sa rozhodnete použiť OpenSSL, poskytujeme tento postup ako návod, ktorý vám pomôže vytvoriť súbor, ktorý spĺňa požiadavky certifikátu X.509 v Požiadavky na certifikát X.509. Než budete pokračovať, pochopte tieto požiadavky.

                                                                                                                                                  • Nainštalujte OpenSSL v podporovanom prostredí. Pozri https://www.openssl.org pre softvér a dokumentáciu.

                                                                                                                                                  • Vytvorte súkromný kľúč.

                                                                                                                                                  • Tento postup začnite, keď dostanete certifikát servera od certifikačnej autority (CA).

                                                                                                                                                  1

                                                                                                                                                  Keď dostanete certifikát servera od vašej CA, uložte ho ako hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Zobrazte certifikát ako text a overte podrobnosti.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Pomocou textového editora vytvorte súbor zväzku certifikátov s názvom hdsnode-bundle.pem. Súbor balíka musí obsahovať certifikát servera, akékoľvek sprostredkujúce certifikáty CA a certifikáty koreňovej CA vo formáte nižšie:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Vytvorte súbor .p12 s popisným názvom kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Skontrolujte podrobnosti certifikátu servera.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Vo výzve zadajte heslo na zašifrovanie súkromného kľúča, aby bol uvedený vo výstupe. Potom skontrolujte, či súkromný kľúč a prvý certifikát obsahujú riadky friendlyName: kms-private-key.

                                                                                                                                                    Príklad:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Návrat do Vyplňte Predpoklady pre hybridnú bezpečnosť údajov. Budete používať hdsnode.p12 súbor a heslo, ktoré ste preň nastavili Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Tieto súbory môžete znova použiť na vyžiadanie nového certifikátu, keď platnosť pôvodného certifikátu vyprší.

                                                                                                                                                  Prevádzka medzi uzlami HDS a cloudom

                                                                                                                                                  Odchádzajúca návštevnosť zberu metrík

                                                                                                                                                  Uzly Hybrid Data Security odosielajú určité metriky do cloudu Webex. Patria sem systémové metriky pre maximálnu haldu, využitú haldu, zaťaženie procesora a počet vlákien; metriky na synchrónnych a asynchrónnych vláknach; metriky výstrah zahŕňajúce prah šifrovacích pripojení, latenciu alebo dĺžku frontu požiadaviek; metriky na dátovom úložisku; a metriky šifrovaného pripojenia. Uzly posielajú zašifrovaný kľúčový materiál cez kanál mimo pásma (oddelený od požiadavky).

                                                                                                                                                  Prichádzajúca premávka

                                                                                                                                                  Uzly Hybrid Data Security prijímajú nasledujúce typy prichádzajúcej prevádzky z cloudu Webex:

                                                                                                                                                  • Šifrovacie požiadavky od klientov, ktoré sú smerované šifrovacou službou

                                                                                                                                                  • Aktualizácie softvéru uzla

                                                                                                                                                  Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát

                                                                                                                                                  Websocket sa nemôže pripojiť cez Squid Proxy

                                                                                                                                                  Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky ( wss:) pripojenia, ktoré vyžaduje Hybrid Data Security. Tieto časti poskytujú návod, ako nakonfigurovať rôzne verzie Squid na ignorovanie wss: prevádzky pre správne fungovanie služieb.

                                                                                                                                                  Kalmáre 4 a 5

                                                                                                                                                  Pridajte on_unsupported_protocol smernica k squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Kalmáre 3.5.27

                                                                                                                                                  Hybridnú bezpečnosť dát sme úspešne otestovali s nasledujúcimi pravidlami squid.conf. Tieto pravidlá sa môžu meniť, pretože vyvíjame funkcie a aktualizujeme cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Predslov

                                                                                                                                                  Nové a zmenené informácie

                                                                                                                                                  Dátum

                                                                                                                                                  Vykonané zmeny

                                                                                                                                                  20. októbra 2023

                                                                                                                                                  7. augusta 2023

                                                                                                                                                  23. mája 2023

                                                                                                                                                  6. decembra 2022

                                                                                                                                                  23. novembra 2022

                                                                                                                                                  13. októbra 2021

                                                                                                                                                  Pred inštaláciou uzlov HDS musí Docker Desktop spustiť inštalačný program. Pozri Požiadavky na plochu Docker.

                                                                                                                                                  24. júna 2021

                                                                                                                                                  Upozorňujeme, že súbor so súkromným kľúčom a CSR môžete znova použiť na vyžiadanie ďalšieho certifikátu. Pozri Na vygenerovanie súboru PKCS12 použite OpenSSL pre podrobnosti.

                                                                                                                                                  30. apríla 2021

                                                                                                                                                  Požiadavka VM na lokálny pevný disk sa zmenila na 30 GB. Pozri Požiadavky na virtuálny hostiteľ pre podrobnosti.

                                                                                                                                                  24. februára 2021

                                                                                                                                                  HDS Setup Tool teraz môže bežať za serverom proxy. Pozri Vytvorte ISO konfigurácie pre hostiteľov HDS pre podrobnosti.

                                                                                                                                                  2. februára 2021

                                                                                                                                                  HDS teraz môže bežať bez pripojeného súboru ISO. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  11. januára 2021

                                                                                                                                                  Pridané informácie o nástroji HDS Setup a proxy serveroch Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  13. októbra 2020

                                                                                                                                                  Aktualizované Stiahnite si inštalačné súbory.

                                                                                                                                                  8. októbra 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla s príkazmi pre prostredia FedRAMP.

                                                                                                                                                  14. augusta 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla so zmenami v procese prihlasovania.

                                                                                                                                                  5. augusta 2020

                                                                                                                                                  Aktualizované Otestujte svoje nasadenie hybridného zabezpečenia dát pre zmeny v protokolových správach.

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ na odstránenie maximálneho počtu hostiteľov.

                                                                                                                                                  16. júna 2020

                                                                                                                                                  Aktualizované Odstráňte uzol pre zmeny v používateľskom rozhraní Control Hub.

                                                                                                                                                  4. júna 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS pre zmeny v rozšírených nastaveniach, ktoré môžete nastaviť.

                                                                                                                                                  29. mája 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS ukázať, že TLS môžete použiť aj s databázami SQL Server, zmenami používateľského rozhrania a ďalšími vysvetleniami.

                                                                                                                                                  5. mája 2020

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ ukázať novú požiadavku ESXi 6.5.

                                                                                                                                                  21. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s novými hostiteľmi Americas CI.

                                                                                                                                                  1. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s informáciami o regionálnych hostiteľoch CI.

                                                                                                                                                  20. februára 2020Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s informáciami o novej voliteľnej obrazovke rozšírených nastavení v nástroji HDS Setup Tool.
                                                                                                                                                  4. februára 2020Aktualizované Požiadavky na proxy server.
                                                                                                                                                  16. decembra 2019Objasnená požiadavka, aby fungoval režim zablokovaného externého rozlíšenia DNS Požiadavky na proxy server.
                                                                                                                                                  19. novembra 2019

                                                                                                                                                  Pridané informácie o režime zablokovaného externého rozlíšenia DNS v nasledujúcich častiach:

                                                                                                                                                  8. novembra 2019

                                                                                                                                                  Teraz môžete konfigurovať sieťové nastavenia pre uzol počas nasadzovania OVA a nie neskôr.

                                                                                                                                                  Podľa toho aktualizovali nasledujúce sekcie:


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  6. septembra 2019

                                                                                                                                                  Pridaný SQL Server Standard do Požiadavky na databázový server.

                                                                                                                                                  29. augusta 2019Pridané Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát príloha s návodom na konfiguráciu proxy serverov Squid tak, aby ignorovali prevádzku websocket pre správnu činnosť.
                                                                                                                                                  20. augusta 2019

                                                                                                                                                  Pridané a aktualizované sekcie pokrývajúce podporu proxy pre komunikáciu uzlov Hybrid Data Security do cloudu Webex.

                                                                                                                                                  Ak chcete získať prístup len k obsahu podpory proxy pre existujúce nasadenie, pozrite si Podpora proxy pre hybridné zabezpečenie dát a Webex Video Mesh pomocný článok.

                                                                                                                                                  13. júna 2019Aktualizované Skúšobný postup produkčných úloh s pripomienkou na synchronizáciu HdsTrialGroup skupinový objekt pred spustením skúšobnej verzie, ak vaša organizácia používa synchronizáciu adresárov.
                                                                                                                                                  6. marca 2019
                                                                                                                                                  28. februára 2019
                                                                                                                                                  • Opravené množstvo miesta na lokálnom pevnom disku na server, ktoré by ste si mali vyčleniť pri príprave virtuálnych hostiteľov, ktorí sa stanú uzlami Hybrid Data Security, z 50 GB na 20 GB, aby odrážali veľkosť disku, ktorý vytvára OVA.

                                                                                                                                                  26. februára 2019
                                                                                                                                                  • Uzly Hybrid Data Security teraz podporujú šifrované pripojenia s databázovými servermi PostgreSQL a šifrované protokolované pripojenia k serveru syslog s podporou TLS. Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s návodom.

                                                                                                                                                  • Odstránili sa cieľové adresy URL z tabuľky „Požiadavky na internetové pripojenie pre virtuálne počítače s uzlom na zabezpečenie hybridných údajov“. Tabuľka teraz odkazuje na zoznam udržiavaný v tabuľke „Ďalšie adresy URL pre hybridné služby Webex Teams“ Sieťové požiadavky pre Webex Teams Services.

                                                                                                                                                  24. januára 2019

                                                                                                                                                  • Hybrid Data Security teraz podporuje Microsoft SQL Server ako databázu. SQL Server Always On (Always On Failover Clusters a Always On Availability Groups) je podporovaný ovládačmi JDBC, ktoré sa používajú v Hybrid Data Security. Pridaný obsah súvisiaci s nasadením so serverom SQL Server.


                                                                                                                                                     

                                                                                                                                                    Podpora Microsoft SQL Server je určená len pre nové nasadenia Hybrid Data Security. Momentálne nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server v existujúcom nasadení.

                                                                                                                                                  5. novembra 2018
                                                                                                                                                  19. októbra 2018

                                                                                                                                                  31. júla 2018

                                                                                                                                                  21. mája 2018

                                                                                                                                                  Zmenená terminológia, aby odrážala rebranding Cisco Spark:

                                                                                                                                                  • Cisco Spark Hybrid Data Security je teraz Hybrid Data Security.

                                                                                                                                                  • Aplikácia Cisco Spark je teraz aplikáciou Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud je teraz cloud Webex.

                                                                                                                                                  11. apríla 2018
                                                                                                                                                  22. februára 2018
                                                                                                                                                  15. február 2018
                                                                                                                                                  • V Požiadavky na certifikát X.509 Tabuľka špecifikovala, že certifikát nemôže byť zástupný certifikát a že KMS používa doménu CN, nie akúkoľvek doménu, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  18. januára 2018

                                                                                                                                                  2. novembra 2017

                                                                                                                                                  • Vyjasnená synchronizácia adresárov skupiny HdsTrialGroup.

                                                                                                                                                  • Opravené pokyny na nahrávanie konfiguračného súboru ISO na pripojenie do uzlov VM.

                                                                                                                                                  18. augusta 2017

                                                                                                                                                  Prvýkrát zverejnené

                                                                                                                                                  Začnite s hybridným zabezpečením dát

                                                                                                                                                  Prehľad zabezpečenia hybridných údajov

                                                                                                                                                  Od prvého dňa bola bezpečnosť údajov prvoradá pri navrhovaní Aplikácia Webex. Základným kameňom tohto zabezpečenia je komplexné šifrovanie obsahu, ktoré umožňuje Aplikácia Webex klientov interagujúcich so službou správy kľúčov (KMS). KMS je zodpovedný za vytváranie a správu kryptografických kľúčov, ktoré klienti používajú na dynamické šifrovanie a dešifrovanie správ a súborov.

                                                                                                                                                  Štandardne všetky Aplikácia Webex zákazníci získajú end-to-end šifrovanie s dynamickými kľúčmi uloženými v cloudovom KMS v oblasti bezpečnosti Cisco. Hybrid Data Security presúva KMS a ďalšie funkcie súvisiace so zabezpečením do vášho podnikového dátového centra, takže kľúče k vášmu šifrovanému obsahu nemá nikto okrem vás.

                                                                                                                                                  Architektúra bezpečnostnej sféry

                                                                                                                                                  Cloudová architektúra Webex oddeľuje rôzne typy služieb do samostatných oblastí alebo dôveryhodných domén, ako je znázornené nižšie.

                                                                                                                                                  Realms of Separation (bez Hybrid Data Security)

                                                                                                                                                  Aby sme lepšie porozumeli Hybrid Data Security, pozrime sa najprv na tento čistý cloud, kde Cisco poskytuje všetky funkcie vo svojich cloudových sférach. Služba identity, jediné miesto, kde môžu používatelia priamo korelovať so svojimi osobnými údajmi, ako je e-mailová adresa, je logicky a fyzicky oddelená od oblasti zabezpečenia v dátovom centre B. Obe sú zase oddelené od oblasti, kde je v konečnom dôsledku uložený šifrovaný obsah. , v dátovom centre C.

                                                                                                                                                  V tomto diagrame je klientom aplikácia Webex, ktorá beží na notebooku používateľa a je overená službou identity. Keď používateľ vytvorí správu na odoslanie do priestoru, vykonajú sa tieto kroky:

                                                                                                                                                  1. Klient vytvorí zabezpečené spojenie so službou správy kľúčov (KMS), potom požiada o kľúč na zašifrovanie správy. Zabezpečené pripojenie používa ECDH a KMS šifruje kľúč pomocou hlavného kľúča AES-256.

                                                                                                                                                  2. Správa je pred opustením klienta zašifrovaná. Klient ho odošle do indexovacej služby, ktorá vytvorí šifrované indexy vyhľadávania na pomoc pri budúcom vyhľadávaní obsahu.

                                                                                                                                                  3. Zašifrovaná správa sa odošle do služby súladu na kontrolu súladu.

                                                                                                                                                  4. Zašifrovaná správa je uložená v úložnej sfére.

                                                                                                                                                  Keď nasadíte Hybrid Data Security, presuniete funkcie bezpečnostnej sféry (KMS, indexovanie a súlad) do vášho lokálneho dátového centra. Ostatné cloudové služby, ktoré tvoria Webex (vrátane ukladania identity a obsahu), zostávajú v sférach spoločnosti Cisco.

                                                                                                                                                  Spolupráca s inými organizáciami

                                                                                                                                                  Používatelia vo vašej organizácii môžu pravidelne používať aplikáciu Webex na spoluprácu s externými účastníkmi v iných organizáciách. Keď jeden z vašich používateľov požaduje kľúč pre priestor, ktorý vlastní vaša organizácia (pretože ho vytvoril jeden z vašich používateľov), váš KMS odošle kľúč klientovi cez zabezpečený kanál ECDH. Keď však kľúč priestoru vlastní iná organizácia, váš KMS nasmeruje požiadavku do cloudu Webex cez samostatný kanál ECDH, aby získal kľúč z príslušného KMS, a potom vráti kľúč vášmu používateľovi na pôvodnom kanáli.

                                                                                                                                                  Služba KMS spustená v organizácii A overuje pripojenia ku KMS v iných organizáciách pomocou x.509 PKI certifikátov. Pozri Pripravte si prostredie podrobnosti o generovaní x.509 certifikátu na použitie s nasadením Hybrid Data Security.

                                                                                                                                                  Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov

                                                                                                                                                  Nasadenie Hybrid Data Security si vyžaduje značné nasadenie zákazníkov a uvedomenie si rizík, ktoré so sebou prináša vlastníctvo šifrovacích kľúčov.

                                                                                                                                                  Ak chcete nasadiť Hybrid Data Security, musíte poskytnúť:

                                                                                                                                                  Úplná strata buď konfiguračného ISO, ktoré ste vytvorili pre Hybrid Data Security, alebo databázy, ktorú poskytnete, bude mať za následok stratu kľúčov. Strata kľúča bráni používateľom dešifrovať obsah priestoru a ďalšie šifrované údaje v aplikácii Webex. Ak sa tak stane, môžete vytvoriť nové nasadenie, ale bude viditeľný iba nový obsah. Aby ste predišli strate prístupu k údajom, musíte:

                                                                                                                                                  • Spravujte zálohovanie a obnovu databázy a konfiguračného ISO.

                                                                                                                                                  • Buďte pripravení vykonať rýchlu obnovu po havárii, ak dôjde ku katastrofe, ako je zlyhanie databázového disku alebo katastrofa dátového centra.


                                                                                                                                                   

                                                                                                                                                  Neexistuje žiadny mechanizmus na presun kľúčov späť do cloudu po nasadení HDS.

                                                                                                                                                  Proces nastavenia na vysokej úrovni

                                                                                                                                                  Tento dokument pokrýva nastavenie a správu nasadenia Hybrid Data Security:

                                                                                                                                                  • Nastavte Hybridné zabezpečenie dát—To zahŕňa prípravu požadovanej infraštruktúry a inštaláciu softvéru Hybrid Data Security, testovanie vášho nasadenia s podskupinou používateľov v skúšobnom režime a po dokončení testovania prechod do produkcie. To prevedie celú organizáciu na používanie vášho klastra Hybrid Data Security na bezpečnostné funkcie.

                                                                                                                                                    Fázy nastavenia, skúšania a výroby sú podrobne opísané v nasledujúcich troch kapitolách.

                                                                                                                                                  • Udržujte svoje nasadenie Hybrid Data Security— Cloud Webex automaticky poskytuje priebežné aktualizácie. Vaše IT oddelenie môže poskytnúť podporu prvej úrovne pre toto nasadenie a podľa potreby zapojiť podporu Cisco. V Control Hub môžete používať upozornenia na obrazovke a nastaviť upozornenia prostredníctvom e-mailu.

                                                                                                                                                  • Pochopte bežné upozornenia, kroky na riešenie problémov a známe problémy—Ak narazíte na problémy s nasadením alebo používaním Hybrid Data Security, posledná kapitola tejto príručky a príloha Známe problémy vám môžu pomôcť určiť a vyriešiť problém.

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  V rámci podnikového dátového centra nasadíte Hybrid Data Security ako jeden klaster uzlov na samostatných virtuálnych hostiteľoch. Uzly komunikujú s cloudom Webex prostredníctvom zabezpečených webových zásuviek a zabezpečeného HTTP.

                                                                                                                                                  Počas procesu inštalácie vám poskytneme súbor OVA na nastavenie virtuálneho zariadenia na VM, ktoré poskytnete. Nástroj HDS Setup Tool použijete na vytvorenie vlastného konfiguračného súboru ISO klastra, ktorý pripojíte na každý uzol. Klaster Hybrid Data Security využíva váš poskytnutý server Syslogd a databázu PostgreSQL alebo Microsoft SQL Server. (Syslogd a podrobnosti o pripojení k databáze nakonfigurujete v nástroji HDS Setup Tool.)

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  Minimálny počet uzlov, ktoré môžete mať v klastri, sú dva. Odporúčame aspoň tri a môžete ich mať až päť. Viacnásobné uzly zaisťujú, že služba nebude prerušená počas aktualizácie softvéru alebo inej činnosti údržby na uzle. (Cloud Webex aktualizuje naraz iba jeden uzol.)

                                                                                                                                                  Všetky uzly v klastri pristupujú k rovnakému úložisku údajov kľúčov a zaznamenávajú aktivitu na rovnaký server syslog. Samotné uzly sú bez stavu a spracovávajú kľúčové požiadavky v režime round-robin podľa pokynov cloudu.

                                                                                                                                                  Uzly sa stanú aktívnymi, keď ich zaregistrujete v Control Hub. Ak chcete vyradiť jednotlivý uzol z prevádzky, môžete ho zrušiť a neskôr v prípade potreby znova zaregistrovať.

                                                                                                                                                  Podporujeme iba jeden klaster na organizáciu.

                                                                                                                                                  Skúšobný režim hybridnej bezpečnosti dát

                                                                                                                                                  Po nastavení nasadenia Hybrid Data Security ho najskôr vyskúšate so skupinou pilotných používateľov. Počas skúšobného obdobia títo používatelia používajú vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Ostatní vaši používatelia naďalej používajú oblasť zabezpečenia cloudu.

                                                                                                                                                  Ak sa rozhodnete nepokračovať v nasadzovaní počas skúšobného obdobia a službu deaktivujete, pilotní používatelia a všetci používatelia, s ktorými počas skúšobného obdobia interagovali vytvorením nových priestorov, stratia prístup k správam a obsahu. V aplikácii Webex sa im zobrazí „Táto správa sa nedá dešifrovať“.

                                                                                                                                                  Ak ste spokojní s tým, že vaše nasadenie funguje dobre pre skúšobných používateľov a ste pripravení rozšíriť Hybrid Data Security na všetkých svojich používateľov, presuniete nasadenie do produkcie. Pilotní používatelia majú naďalej prístup ku kľúčom, ktoré sa používali počas skúšobnej verzie. Nemôžete sa však pohybovať tam a späť medzi produkčným režimom a pôvodnou skúšobnou verziou. Ak musíte službu deaktivovať, napríklad vykonať obnovu po havárii, pri opätovnej aktivácii musíte spustiť novú skúšobnú verziu a nastaviť skupinu pilotných používateľov pre novú skúšobnú verziu, než sa vrátite späť do produkčného režimu. Či si používatelia v tomto bode zachovajú prístup k údajom, závisí od toho, či ste úspešne udržiavali zálohy úložiska kľúčových údajov a konfiguračného súboru ISO pre uzly Hybrid Data Security vo vašom klastri.

                                                                                                                                                  Pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Počas nasadenia nastavíte zabezpečené pohotovostné dátové centrum. V prípade havárie dátového centra môžete manuálne zlyhať nasadenie do pohotovostného dátového centra.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Manuálne prepnutie do pohotovostného dátového centra

                                                                                                                                                  Databázy aktívnych a pohotovostných dátových centier sú navzájom synchronizované, čo minimalizuje čas potrebný na vykonanie núdzového prepnutia. Súbor ISO pohotovostného dátového centra sa aktualizuje o ďalšie konfigurácie, ktoré zaisťujú, že uzly sú registrované v organizácii, ale nebudú spracovávať prevádzku. Preto uzly pohotovostného dátového centra zostávajú vždy aktuálne s najnovšou verziou softvéru HDS.


                                                                                                                                                   

                                                                                                                                                  Aktívne uzly Hybrid Data Security musia byť vždy v rovnakom údajovom centre ako aktívny databázový server.

                                                                                                                                                  Nastavte pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Ak chcete nakonfigurovať súbor ISO pohotovostného dátového centra, postupujte podľa nasledujúcich krokov:

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Pohotovostné dátové centrum by malo odrážať produkčné prostredie VM a záložnú databázu PostgreSQL alebo Microsoft SQL Server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM. (Pozri Pohotovostné dátové centrum pre obnovu po havárii pre prehľad tohto modelu núdzového prepnutia.)

                                                                                                                                                  • Uistite sa, že je povolená synchronizácia databázy medzi databázou aktívnych a pasívnych uzlov klastra.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Súbor ISO musí byť kópiou pôvodného súboru ISO primárneho dátového centra, v ktorom sa majú vykonať nasledujúce aktualizácie konfigurácie.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie, aby ste umiestnili uzol do pasívneho režimu. V tomto režime bude uzol zaregistrovaný v organizácii a pripojený ku cloudu, ale nebude spracovávať žiadny prenos.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte syslogy a overte, či sú uzly v pasívnom režime. V syslogoch by ste mali vidieť správu „KMS nakonfigurovaná v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Po konfigurácii passiveMode v súbore ISO a jeho uložením môžete vytvoriť ďalšiu kópiu súboru ISO bez súboru passiveMode konfiguráciu a uložte ju na bezpečnom mieste. Táto kópia súboru ISO bez passiveMode nakonfigurovaný môže pomôcť pri rýchlom procese núdzového prepnutia počas obnovy po havárii. Pozri Obnova po havárii pomocou pohotovostného dátového centra pre podrobný postup núdzového prepnutia.

                                                                                                                                                  Podpora proxy

                                                                                                                                                  Hybrid Data Security podporuje explicitné, transparentné kontrolné a nekontrolujúce proxy. Tieto servery proxy môžete prepojiť s nasadením, aby ste mohli zabezpečiť a monitorovať prevádzku z podniku do cloudu. Rozhranie správcu platformy na uzloch môžete použiť na správu certifikátov a na kontrolu celkového stavu pripojenia po nastavení servera proxy na uzloch.

                                                                                                                                                  Uzly Hybrid Data Security podporujú nasledujúce možnosti proxy:

                                                                                                                                                  • Žiadny proxy—Predvolené, ak na integráciu servera proxy nepoužívate nastavenie uzla HDS Trust Store & Proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentný nekontrolujúci splnomocnenec– Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentné tunelovanie alebo kontrola proxy– Uzly nie sú nakonfigurované na používanie špecifickej adresy servera proxy. Na uzloch nie sú potrebné žiadne zmeny konfigurácie HTTP alebo HTTPS. Uzly však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).

                                                                                                                                                  • Explicitný proxy—S explicitným proxy, poviete HDS uzlom, ktorý proxy server a overovaciu schému použiť. Ak chcete nakonfigurovať explicitný server proxy, musíte do každého uzla zadať nasledujúce informácie:

                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol—V závislosti od toho, čo váš proxy server podporuje, vyberte si z nasledujúcich protokolov:

                                                                                                                                                      • HTTP – zobrazuje a riadi všetky požiadavky, ktoré klient odosiela.

                                                                                                                                                      • HTTPS – poskytuje kanál pre server. Klient prijme a overí certifikát servera.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné, iba ak vyberiete HTTPS ako protokol proxy.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                  Príklad uzlov na zabezpečenie hybridných dát a proxy

                                                                                                                                                  Tento diagram ukazuje príklad spojenia medzi Hybrid Data Security, sieťou a proxy. Pre možnosti transparentnej kontroly a explicitnej kontroly HTTPS proxy musí byť na serveri proxy aj na uzloch Hybrid Data Security nainštalovaný rovnaký koreňový certifikát.

                                                                                                                                                  Blokovaný režim externého rozlíšenia DNS (explicitné konfigurácie proxy)

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. V nasadeniach s explicitnými konfiguráciami proxy, ktoré neumožňujú externé rozlíšenie DNS pre interných klientov, ak uzol nemôže dotazovať servery DNS, automaticky prejde do režimu blokovaného externého riešenia DNS. V tomto režime môže pokračovať registrácia uzla a ďalšie testy pripojenia proxy.

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  Požiadavky na hybridnú bezpečnosť dát

                                                                                                                                                  Požiadavky na licenciu Cisco Webex

                                                                                                                                                  Nasadenie Hybrid Data Security:

                                                                                                                                                  Požiadavky na plochu Docker

                                                                                                                                                  Pred inštaláciou uzlov HDS potrebujete Docker Desktop na spustenie inštalačného programu. Docker nedávno aktualizoval svoj licenčný model. Vaša organizácia môže vyžadovať platené predplatné pre Docker Desktop. Podrobnosti nájdete v blogovom príspevku Docker, " Docker aktualizuje a rozširuje naše predplatné produktov".

                                                                                                                                                  Požiadavky na certifikát X.509

                                                                                                                                                  Certifikačný reťazec musí spĺňať nasledujúce požiadavky:

                                                                                                                                                  Tabuľka č. 1 Požiadavky certifikátu X.509 pre nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Požiadavka

                                                                                                                                                  Podrobnosti

                                                                                                                                                  • Podpísané dôveryhodnou certifikačnou autoritou (CA)

                                                                                                                                                  V predvolenom nastavení dôverujeme CA v zozname Mozilly (s výnimkou WoSign a StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Nesie názov domény Common Name (CN), ktorý identifikuje vaše nasadenie Hybrid Data Security

                                                                                                                                                  • Nie je to zástupný certifikát

                                                                                                                                                  CN nemusí byť dosiahnuteľné alebo živého hostiteľa. Odporúčame vám použiť názov, ktorý odráža vašu organizáciu, napr. hds.company.com.

                                                                                                                                                  KN nesmie obsahovať * (zástupný znak).

                                                                                                                                                  CN sa používa na overenie uzlov Hybrid Data Security pre klientov Webex App. Všetky uzly Hybrid Data Security vo vašom klastri používajú rovnaký certifikát. Váš KMS sa identifikuje pomocou domény CN, nie akejkoľvek domény, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  Po zaregistrovaní uzla s týmto certifikátom nepodporujeme zmenu názvu domény CN. Vyberte doménu, ktorá sa môže vzťahovať na skúšobné aj produkčné nasadenie.

                                                                                                                                                  • Podpis iný ako SHA1

                                                                                                                                                  Softvér KMS nepodporuje podpisy SHA1 na overenie pripojení k KMS iných organizácií.

                                                                                                                                                  • Naformátovaný ako súbor PKCS #12 chránený heslom

                                                                                                                                                  • Použite priateľský názov kms-private-key na označenie certifikátu, súkromného kľúča a akýchkoľvek sprostredkujúcich certifikátov na odovzdanie.

                                                                                                                                                  Na zmenu formátu certifikátu môžete použiť konvertor, ako je OpenSSL.

                                                                                                                                                  Pri spustení nástroja HDS Setup Tool budete musieť zadať heslo.

                                                                                                                                                  Softvér KMS nevynucuje používanie kľúčov ani rozšírené obmedzenia používania kľúčov. Niektoré certifikačné autority vyžadujú, aby sa na každý certifikát aplikovali rozšírené obmedzenia používania kľúčov, ako je autentifikácia servera. Je v poriadku použiť overenie servera alebo iné nastavenia.

                                                                                                                                                  Požiadavky na virtuálny hostiteľ

                                                                                                                                                  Virtuálni hostitelia, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri, majú nasledujúce požiadavky:

                                                                                                                                                  • Aspoň dvaja oddelení hostitelia (odporúčajú sa 3) umiestnení v rovnakom zabezpečenom dátovom centre

                                                                                                                                                  • VMware ESXi 6.5 (alebo novší) nainštalovaný a spustený.


                                                                                                                                                     

                                                                                                                                                    Ak máte staršiu verziu ESXi, musíte vykonať inováciu.

                                                                                                                                                  • Minimálne 4 vCPU, 8 GB hlavnej pamäte, 30 GB miesta na lokálnom pevnom disku na server

                                                                                                                                                  Požiadavky na databázový server


                                                                                                                                                   

                                                                                                                                                  Vytvorte novú databázu pre uloženie kľúčov. Nepoužívajte predvolenú databázu. Aplikácie HDS, keď sú nainštalované, vytvoria schému databázy.

                                                                                                                                                  Pre databázový server sú dve možnosti. Požiadavky na každú z nich sú nasledovné:

                                                                                                                                                  Tabuľka 2 Požiadavky na databázový server podľa typu databázy

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  • PostgreSQL 14, 15 alebo 16, nainštalovaný a spustený.

                                                                                                                                                  • SQL Server 2016, 2017 alebo 2019 (Enterprise alebo Standard) nainštalovaný.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 vyžaduje Service Pack 2 a Kumulatívna aktualizácia 2 alebo novšia.

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Softvér HDS momentálne inštaluje nasledujúce verzie ovládačov na komunikáciu s databázovým serverom:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  Postgres JDBC ovládač 42.2.5

                                                                                                                                                  Ovládač SQL Server JDBC 4.6

                                                                                                                                                  Táto verzia ovládača podporuje SQL Server Always On ( Vždy v prípade zlyhania klastra a Vždy zapnuté skupiny dostupnosti).

                                                                                                                                                  Dodatočné požiadavky na overenie systému Windows voči Microsoft SQL Server

                                                                                                                                                  Ak chcete, aby uzly HDS používali autentifikáciu systému Windows na získanie prístupu k vašej databáze úložiska kľúčov na serveri Microsoft SQL Server, potrebujete vo svojom prostredí nasledujúcu konfiguráciu:

                                                                                                                                                  • HDS uzly, infraštruktúra Active Directory a MS SQL Server musia byť synchronizované s NTP.

                                                                                                                                                  • Účet Windows, ktorý poskytnete uzlom HDS, musí mať prístup k databáze na čítanie/zápis.

                                                                                                                                                  • Servery DNS, ktoré poskytujete uzlom HDS, musia byť schopné vyriešiť vaše Centrum distribúcie kľúčov (KDC).

                                                                                                                                                  • Inštanciu databázy HDS môžete zaregistrovať na svojom serveri Microsoft SQL Server ako hlavný názov služby (SPN) vo vašom adresári Active Directory. Pozri Zaregistrujte hlavný názov služby pre pripojenia Kerberos.

                                                                                                                                                    Nástroj na nastavenie HDS, spúšťač HDS a miestne KMS musia na prístup k databáze kľúčov používať overenie systému Windows. Používajú podrobnosti z vašej konfigurácie ISO na vytvorenie SPN pri požadovaní prístupu s overením Kerberos.

                                                                                                                                                  Požiadavky na externé pripojenie

                                                                                                                                                  Nakonfigurujte svoj firewall tak, aby umožňoval nasledujúce pripojenie pre aplikácie HDS:

                                                                                                                                                  Aplikácia

                                                                                                                                                  Protokol

                                                                                                                                                  Port

                                                                                                                                                  Smer z App

                                                                                                                                                  Destinácia

                                                                                                                                                  Hybridné uzly zabezpečenia údajov

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS a WSS

                                                                                                                                                  • Webex servery:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • Ďalšie adresy URL, ktoré sú uvedené pre Hybrid Data Security v Ďalšie adresy URL pre hybridné služby Webex tabuľka Sieťové požiadavky pre služby Webex

                                                                                                                                                  Nástroj na nastavenie HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Uzly Hybrid Data Security pracujú s prekladom sieťového prístupu (NAT) alebo za bránou firewall, pokiaľ NAT alebo brána firewall umožňuje požadované odchádzajúce pripojenia k destináciám domény v predchádzajúcej tabuľke. Pre pripojenia prichádzajúce do uzlov Hybrid Data Security by nemali byť z internetu viditeľné žiadne porty. V rámci vášho dátového centra potrebujú klienti prístup k uzlom Hybrid Data Security na portoch TCP 443 a 22 na administratívne účely.

                                                                                                                                                  Adresy URL hostiteľov Common Identity (CI) sú špecifické pre daný región. Toto sú súčasní hostitelia CI:

                                                                                                                                                  región

                                                                                                                                                  Spoločné adresy URL hostiteľa identity

                                                                                                                                                  Ameriky

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Európska únia

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Kanada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Požiadavky na proxy server

                                                                                                                                                  • Oficiálne podporujeme nasledujúce proxy riešenia, ktoré sa dajú integrovať s vašimi uzlami Hybrid Data Security.

                                                                                                                                                    • Transparentný proxy – Cisco Web Security Appliance (WSA).

                                                                                                                                                    • Explicitný proxy-Squid.


                                                                                                                                                       

                                                                                                                                                      Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky (wss:) spojenia. Ak chcete tento problém obísť, pozrite si Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát.

                                                                                                                                                  • Pre explicitné servery proxy podporujeme nasledujúce kombinácie typov overenia:

                                                                                                                                                    • Žiadna autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Základná autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Digest overenie iba s HTTPS

                                                                                                                                                  • Pre transparentný kontrolný proxy server alebo explicitný proxy server HTTPS musíte mať kópiu koreňového certifikátu servera proxy. Pokyny na nasadenie v tejto príručke vám povedia, ako nahrať kópiu do dôveryhodných obchodov uzlov Hybrid Data Security.

                                                                                                                                                  • Sieť, ktorá hostí uzly HDS, musí byť nakonfigurovaná tak, aby vynútila smerovanie odchádzajúcej prevádzky TCP na porte 443 cez server proxy.

                                                                                                                                                  • Proxy, ktoré kontrolujú webovú prevádzku, môžu narúšať pripojenia webových soketov. Ak sa vyskytne tento problém, obíďte (nie kontrolujte) premávku na wbx2.com a ciscospark.com problém vyrieši.

                                                                                                                                                  Vyplňte Predpoklady pre hybridnú bezpečnosť údajov

                                                                                                                                                  Pomocou tohto kontrolného zoznamu sa uistite, že ste pripravení na inštaláciu a konfiguráciu klastra Hybrid Data Security.
                                                                                                                                                  1

                                                                                                                                                  Uistite sa, že vaša organizácia Webex má povolený balík Pro Pack pre Cisco Webex Control Hub a získajte prihlasovacie údaje účtu s úplnými právami správcu organizácie. Ak potrebujete pomoc s týmto procesom, kontaktujte svojho partnera Cisco alebo account manažéra.

                                                                                                                                                  2

                                                                                                                                                  Vyberte názov domény pre svoje nasadenie HDS (napr. hds.company.com) a získajte reťaz certifikátov obsahujúci certifikát X.509, súkromný kľúč a akékoľvek sprostredkujúce certifikáty. Certifikačný reťazec musí spĺňať požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  3

                                                                                                                                                  Pripravte si identických virtuálnych hostiteľov, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri. Potrebujete aspoň dvoch samostatných hostiteľov (odporúčajú sa 3) umiestnených v rovnakom zabezpečenom dátovom centre, ktorí spĺňajú požiadavky v Požiadavky na virtuálny hostiteľ.

                                                                                                                                                  4

                                                                                                                                                  Pripravte databázový server, ktorý bude fungovať ako úložisko kľúčových údajov pre klaster, podľa Požiadavky na databázový server. Databázový server musí byť umiestnený v zabezpečenom údajovom centre spolu s virtuálnymi hostiteľmi.

                                                                                                                                                  1. Vytvorte databázu pre ukladanie kľúčov. (Túto databázu musíte vytvoriť – nepoužívajte predvolenú databázu. Aplikácie HDS po nainštalovaní vytvoria schému databázy.)

                                                                                                                                                  2. Zhromaždite podrobnosti, ktoré budú uzly používať na komunikáciu s databázovým serverom:

                                                                                                                                                    • názov hostiteľa alebo IP adresa (hostiteľ) a port

                                                                                                                                                    • názov databázy (dbname) pre uloženie kľúčov

                                                                                                                                                    • užívateľské meno a heslo užívateľa so všetkými privilégiami v databáze kľúča

                                                                                                                                                  5

                                                                                                                                                  Pre rýchlu obnovu po havárii nastavte zálohovacie prostredie v inom dátovom centre. Zálohovacie prostredie odzrkadľuje produkčné prostredie VM a záložný databázový server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Nastavte hostiteľa syslog na zhromažďovanie protokolov z uzlov v klastri. Získajte jeho sieťovú adresu a port syslog (predvolené je UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Vytvorte politiku bezpečného zálohovania pre uzly Hybrid Data Security, databázový server a hostiteľa syslog. Aby ste predišli nenapraviteľnej strate údajov, musíte minimálne zálohovať databázu a konfiguračný súbor ISO vygenerovaný pre uzly Hybrid Data Security.


                                                                                                                                                   

                                                                                                                                                  Pretože uzly Hybrid Data Security ukladajú kľúče používané na šifrovanie a dešifrovanie obsahu, zlyhanie pri udržiavaní operačného nasadenia bude mať za následok NENÁHRADITEĽNÁ STRATA tohto obsahu.

                                                                                                                                                  Klienti Webex App ukladajú svoje kľúče do vyrovnávacej pamäte, takže výpadok nemusí byť okamžite viditeľný, ale časom sa prejaví. Zatiaľ čo dočasným výpadkom nie je možné zabrániť, sú obnoviteľné. Úplná strata (nie sú k dispozícii žiadne zálohy) databázy alebo konfiguračného ISO súboru však bude mať za následok neobnoviteľné zákaznícke údaje. Od operátorov uzlov Hybrid Data Security sa očakáva, že budú pravidelne zálohovať databázu a konfiguračný ISO súbor a budú pripravení na prestavbu dátového centra Hybrid Data Security, ak dôjde ku katastrofálnej poruche.

                                                                                                                                                  8

                                                                                                                                                  Uistite sa, že vaša konfigurácia brány firewall umožňuje pripojenie pre vaše uzly Hybrid Data Security, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  9

                                                                                                                                                  Nainštalujte Docker ( https://www.docker.com) na akomkoľvek lokálnom počítači s podporovaným operačným systémom (Microsoft Windows 10 Professional alebo Enterprise 64-bit, alebo Mac OSX Yosemite 10.10.3 alebo novší) s webovým prehliadačom, ktorý k nemu môže pristupovať na http://127.0.0.1:8080.

                                                                                                                                                  Inštanciu Docker použijete na stiahnutie a spustenie nástroja HDS Setup Tool, ktorý vytvorí informácie o lokálnej konfigurácii pre všetky uzly Hybrid Data Security. Vaša organizácia môže potrebovať licenciu Docker Desktop. Pozri Požiadavky na plochu Docker Pre viac informácií.

                                                                                                                                                  Ak chcete nainštalovať a spustiť nástroj HDS Setup Tool, lokálny počítač musí mať konektivitu uvedenú v Požiadavky na externé pripojenie.

                                                                                                                                                  10

                                                                                                                                                  Ak integrujete proxy s Hybrid Data Security, uistite sa, že spĺňa Požiadavky na proxy server.

                                                                                                                                                  11

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, vytvorte skupinu v Active Directory s názvom HdsTrialGroup a pridajte pilotných používateľov. Skúšobná skupina môže mať až 250 používateľov. The HdsTrialGroup Pred spustením skúšobnej verzie pre vašu organizáciu musí byť objekt synchronizovaný s cloudom. Ak chcete synchronizovať objekt skupiny, vyberte ho v priečinku Directory Connector Konfigurácia > Výber objektu Ponuka. (Podrobné pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Pri výbere pilotných používateľov majte na pamäti, že ak sa rozhodnete natrvalo deaktivovať nasadenie Hybrid Data Security, všetci používatelia stratia prístup k obsahu v priestoroch, ktoré vytvorili pilotní používatelia. Strata sa prejaví hneď, ako aplikácie používateľov obnovia svoje kópie obsahu uložené vo vyrovnávacej pamäti.

                                                                                                                                                  Nastavte Hybrid Data Security Cluster

                                                                                                                                                  Tok úloh nasadenia zabezpečenia hybridných údajov

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  1

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  Stiahnite si súbor OVA na váš lokálny počítač pre neskoršie použitie.

                                                                                                                                                  2

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Pomocou nástroja HDS Setup Tool vytvorte konfiguračný súbor ISO pre uzly Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Vytvorte virtuálny počítač zo súboru OVA a vykonajte počiatočnú konfiguráciu, ako sú nastavenia siete.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  4

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Prihláste sa do konzoly VM a nastavte prihlasovacie poverenia. Nakonfigurujte sieťové nastavenia pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  5

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Nakonfigurujte VM z konfiguračného súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  6

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje konfiguráciu servera proxy, zadajte typ servera proxy, ktorý použijete pre uzol, a v prípade potreby pridajte certifikát servera proxy do dôveryhodného úložiska.

                                                                                                                                                  7

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Zaregistrujte VM v cloude Cisco Webex ako uzol Hybrid Data Security.

                                                                                                                                                  8

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Dokončite nastavenie klastra.

                                                                                                                                                  9

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)

                                                                                                                                                  Kým nezačnete skúšobnú verziu, vaše uzly generujú alarm oznamujúci, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  V tejto úlohe stiahnete súbor OVA do svojho počítača (nie na servery, ktoré ste nastavili ako uzly Hybrid Data Security). Tento súbor použijete neskôr v procese inštalácie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom kliknite Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybridné služby nájdite kartu Hybrid Data Security a potom kliknite Nastaviť.

                                                                                                                                                  Ak je karta zakázaná alebo ju nevidíte, kontaktujte tím spravujúci váš účet alebo partnerskú organizáciu. Poskytnite im svoje číslo účtu a požiadajte, aby vašej organizácii umožnili Hybridné zabezpečenie dát. Ak chcete nájsť číslo účtu, kliknite na ozubené koliesko vpravo hore vedľa názvu organizácie.


                                                                                                                                                   

                                                                                                                                                  OVA si tiež môžete kedykoľvek stiahnuť z Pomoc oddiel na nastavenie stránku. Na karte Hybrid Data Security kliknite na Upraviť nastavenia otvorte stránku. Potom kliknite Stiahnite si softvér Hybrid Data Security v Pomoc oddiele.


                                                                                                                                                   

                                                                                                                                                  Staršie verzie softvérového balíka (OVA) nebudú kompatibilné s najnovšími aktualizáciami Hybrid Data Security. To môže viesť k problémom pri inovácii aplikácie. Uistite sa, že ste si stiahli najnovšiu verziu súboru OVA.

                                                                                                                                                  3

                                                                                                                                                  Vyberte Nie na označenie, že ste ešte nenastavili uzol, a potom kliknite Ďalšie.

                                                                                                                                                  Automaticky sa začne sťahovať súbor OVA. Uložte súbor na miesto v počítači.
                                                                                                                                                  4

                                                                                                                                                  Voliteľne kliknite Otvorte Sprievodcu nasadením a skontrolujte, či je k dispozícii novšia verzia tejto príručky.

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Proces nastavenia Hybrid Data Security vytvorí súbor ISO. Potom použijete ISO na konfiguráciu hostiteľa Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak nástroj HDS Setup beží za serverom proxy vo vašom prostredí, pri spúšťaní kontajnera Docker v kroku poskytnite nastavenia servera proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 5. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Konfiguračný súbor ISO, ktorý vygenerujete, obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. Najnovšiu kópiu tohto súboru potrebujete vždy, keď vykonáte zmeny v konfigurácii, ako napríklad:

                                                                                                                                                    • Databázové poverenia

                                                                                                                                                    • Aktualizácie certifikátov

                                                                                                                                                    • Zmeny v politike autorizácie

                                                                                                                                                  • Ak plánujete šifrovať pripojenia k databáze, nastavte svoje nasadenie PostgreSQL alebo SQL Server pre TLS.

                                                                                                                                                  1

                                                                                                                                                  Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2

                                                                                                                                                  Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  • V bežných prostrediach bez servera proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V prostrediach FedRAMP bez proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  Pomocou webového prehliadača prejdite na localhost, http://127.0.0.1:8080 a po výzve zadajte používateľské meno správcu zákazníka pre Control Hub.

                                                                                                                                                  Nástroj používa toto prvé zadanie používateľského mena na nastavenie správneho prostredia pre daný účet. Nástroj potom zobrazí štandardnú výzvu na prihlásenie.

                                                                                                                                                  7

                                                                                                                                                  Po zobrazení výzvy zadajte svoje prihlasovacie poverenia správcu zákazníka Control Hub a potom kliknite Prihlásiť sa na umožnenie prístupu k požadovaným službám pre Hybridnú bezpečnosť dát.

                                                                                                                                                  8

                                                                                                                                                  Na stránke prehľadu nástroja Setup kliknite na Začať.

                                                                                                                                                  9

                                                                                                                                                  Na ISO import stránku, máte tieto možnosti:

                                                                                                                                                  • Nie—Ak vytvárate svoj prvý uzol HDS, nemáte súbor ISO na nahranie.
                                                                                                                                                  • Áno—Ak ste už vytvorili uzly HDS, vyberte súbor ISO v prehľadávaní a nahrajte ho.
                                                                                                                                                  10

                                                                                                                                                  Skontrolujte, či váš certifikát X.509 spĺňa požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  • Ak ste nikdy predtým nenahrali certifikát, nahrajte certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  • Ak je váš certifikát v poriadku, kliknite ďalej.
                                                                                                                                                  • Ak platnosť vášho certifikátu vypršala alebo ho chcete nahradiť, vyberte Nie pre Pokračovať v používaní reťazca certifikátov HDS a súkromného kľúča z predchádzajúceho ISO?. Nahrajte nový certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  11

                                                                                                                                                  Zadajte databázovú adresu a účet pre HDS, aby ste získali prístup k vášmu úložisku kľúčových údajov:

                                                                                                                                                  1. Vyberte si svoj Typ databázy (PostgreSQL alebo Microsoft SQL Server).

                                                                                                                                                    Ak si vyberiete Microsoft SQL Server, získate pole Typ overenia.

                                                                                                                                                  2. (Microsoft SQL Server iba) Vyberte si autentický typ:

                                                                                                                                                    • Základná autentifikácia: Potrebujete názov lokálneho účtu SQL Server v súbore Používateľské meno lúka.

                                                                                                                                                    • Overenie systému Windows: Potrebujete účet Windows vo formáte username@DOMAIN v Používateľské meno lúka.

                                                                                                                                                  3. Do formulára zadajte adresu databázového servera <hostname>:<port> alebo <IP-address>:<port>.

                                                                                                                                                    Príklad:
                                                                                                                                                    dbhost.example.org:1433 alebo 198.51.100.17:1433

                                                                                                                                                    Môžete použiť IP adresu na základnú autentifikáciu, ak uzly nemôžu použiť DNS na rozlíšenie názvu hostiteľa.

                                                                                                                                                    Ak používate overovanie systému Windows, musíte zadať úplný názov domény vo formáte dbhost.example.org:1433

                                                                                                                                                  4. Zadajte Názov databázy.

                                                                                                                                                  5. Zadajte Používateľské meno a heslo používateľa so všetkými oprávneniami na databázu úložiska kľúčov.

                                                                                                                                                  12

                                                                                                                                                  Vyberte a Režim pripojenia databázy TLS:

                                                                                                                                                  Režim

                                                                                                                                                  Opis

                                                                                                                                                  Preferujem TLS (predvolená možnosť)

                                                                                                                                                  HDS uzly nevyžadujú TLS na pripojenie k databázovému serveru. Ak povolíte TLS na databázovom serveri, uzly sa pokúsia o šifrované pripojenie.

                                                                                                                                                  Vyžadovať TLS

                                                                                                                                                  Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu


                                                                                                                                                   

                                                                                                                                                  Tento režim nie je použiteľný pre databázy SQL Server.

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu a názov hostiteľa

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  • Uzly tiež overujú, či sa názov hostiteľa v certifikáte servera zhoduje s názvom hostiteľa v Hostiteľ databázy a port lúka. Názvy sa musia presne zhodovať, inak uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Keď nahráte koreňový certifikát (ak je to potrebné) a kliknite na ďalej, HDS Setup Tool otestuje TLS pripojenie k databázovému serveru. Nástroj tiež overuje podpisovateľa certifikátu a názov hostiteľa, ak je to potrebné. Ak test zlyhá, nástroj zobrazí chybové hlásenie popisujúce problém. Môžete si vybrať, či chcete chybu ignorovať a pokračovať v nastavovaní. (Vzhľadom na rozdiely v konektivite môžu byť uzly HDS schopné nadviazať pripojenie TLS, aj keď ho zariadenie HDS Setup Tool nedokáže úspešne otestovať.)

                                                                                                                                                  13

                                                                                                                                                  Na stránke Systémové denníky nakonfigurujte svoj server Syslogd:

                                                                                                                                                  1. Zadajte adresu URL servera syslog.

                                                                                                                                                    Ak server nie je schopný rozlíšiť DNS z uzlov pre váš klaster HDS, použite v adrese URL adresu IP.

                                                                                                                                                    Príklad:
                                                                                                                                                    udp://10.92.43.23:514 označuje prihlásenie do hostiteľa Syslogd 10.92.43.23 na porte UDP 514.
                                                                                                                                                  2. Ak ste nastavili svoj server na používanie šifrovania TLS, skontrolujte Je váš server syslog nakonfigurovaný na šifrovanie SSL?.

                                                                                                                                                    Ak začiarknete toto políčko, uistite sa, že ste zadali TCP URL, ako napr tcp://10.92.43.23:514.

                                                                                                                                                  3. Z Vyberte ukončenie záznamu syslog v rozbaľovacej ponuke vyberte vhodné nastavenie pre váš súbor ISO: Choose alebo Newline sa používa pre Graylog a Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Nový riadok -- \n—Vyberte túto voľbu pre Graylog a Rsyslog TCP.

                                                                                                                                                  4. Kliknite ďalej.

                                                                                                                                                  14

                                                                                                                                                  (Voliteľné) Môžete zmeniť predvolenú hodnotu pre niektoré parametre pripojenia k databáze v Pokročilé nastavenia. Vo všeobecnosti je tento parameter jediný, ktorý možno budete chcieť zmeniť:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Kliknite ďalej na Obnovte heslo servisných účtov obrazovke.

                                                                                                                                                  Heslá k servisným účtom majú životnosť deväť mesiacov. Túto obrazovku použite, keď sa blíži koniec platnosti vašich hesiel alebo ich chcete resetovať, aby ste zrušili platnosť predchádzajúcich súborov ISO.

                                                                                                                                                  16

                                                                                                                                                  Kliknite Stiahnite si súbor ISO. Uložte súbor na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  17

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme.

                                                                                                                                                  Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  18

                                                                                                                                                  Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zálohujte konfiguračný súbor ISO. Potrebujete ho na vytvorenie ďalších uzlov na obnovu alebo na vykonanie zmien v konfigurácii. Ak stratíte všetky kópie súboru ISO, stratili ste aj hlavný kľúč. Obnovenie kľúčov z databázy PostgreSQL alebo Microsoft SQL Server nie je možné.


                                                                                                                                                   

                                                                                                                                                  Nikdy nemáme kópiu tohto kľúča a nemôžeme vám pomôcť, ak ho stratíte.

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Tento postup použite na vytvorenie virtuálneho počítača zo súboru OVA.
                                                                                                                                                  1

                                                                                                                                                  Na prihlásenie do virtuálneho hostiteľa ESXi použite klienta VMware vSphere na vašom počítači.

                                                                                                                                                  2

                                                                                                                                                  Vyberte Súbor > Nasadiť šablónu OVF.

                                                                                                                                                  3

                                                                                                                                                  V sprievodcovi zadajte umiestnenie súboru OVA, ktorý ste si stiahli skôr, a potom kliknite Ďalšie .

                                                                                                                                                  4

                                                                                                                                                  Na Vyberte názov a priečinok stránku, zadajte a Názov virtuálneho počítača pre uzol (napríklad „HDS_Node_1"), vyberte umiestnenie, kde sa môže nachádzať nasadenie uzla virtuálneho počítača, a potom kliknite Ďalšie .

                                                                                                                                                  5

                                                                                                                                                  Na Vyberte výpočtový zdroj vyberte cieľový výpočtový zdroj a potom kliknite Ďalšie .

                                                                                                                                                  Prebehne overovacia kontrola. Po dokončení sa zobrazia podrobnosti šablóny.

                                                                                                                                                  6

                                                                                                                                                  Overte podrobnosti šablóny a potom kliknite Ďalšie.

                                                                                                                                                  7

                                                                                                                                                  Ak sa zobrazí výzva na výber konfigurácie prostriedkov na Konfigurácia stránku, kliknite 4 CPU a potom kliknite Ďalšie .

                                                                                                                                                  8

                                                                                                                                                  Na Vyberte úložisko stránku, kliknite Ďalšie akceptovať predvolený formát disku a politiku úložiska VM.

                                                                                                                                                  9

                                                                                                                                                  Na Vyberte siete vyberte sieťovú možnosť zo zoznamu položiek, aby ste poskytli požadované pripojenie k VM.

                                                                                                                                                  10

                                                                                                                                                  Na Prispôsobiť šablónu nakonfigurujte nasledujúce nastavenia siete:

                                                                                                                                                  • Meno hosťa— Zadajte FQDN (názov hostiteľa a doménu) alebo jednoslovný názov hostiteľa pre uzol.

                                                                                                                                                     
                                                                                                                                                    • Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                    • Ak chcete zabezpečiť úspešnú registráciu do cloudu, použite iba malé písmená v FQDN alebo názve hostiteľa, ktorý ste nastavili pre uzol. Veľké písmená momentálne nie sú podporované.

                                                                                                                                                    • Celková dĺžka FQDN nesmie presiahnuť 64 znakov.

                                                                                                                                                  • IP adresa— Zadajte IP adresu interného rozhrania uzla.

                                                                                                                                                     

                                                                                                                                                    Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  • Maska— Zadajte adresu masky podsiete v desiatkovom formáte bodka. Napríklad, 255.255.255.0.
                                                                                                                                                  • Brána— Zadajte IP adresu brány. Brána je sieťový uzol, ktorý slúži ako prístupový bod do inej siete.
                                                                                                                                                  • DNS servery— Zadajte čiarkami oddelený zoznam serverov DNS, ktoré sa starajú o preklad názvov domén na číselné adresy IP. (Povolené sú až 4 záznamy DNS.)
                                                                                                                                                  • NTP servery—Zadajte server NTP vašej organizácie alebo iný externý server NTP, ktorý možno použiť vo vašej organizácii. Predvolené servery NTP nemusia fungovať pre všetky podniky. Na zadanie viacerých serverov NTP môžete použiť aj zoznam oddelený čiarkami.
                                                                                                                                                  • Nasaďte všetky uzly v rovnakej podsieti alebo VLAN, aby boli všetky uzly v klastri dosiahnuteľné z klientov vo vašej sieti na administratívne účely.

                                                                                                                                                  Ak chcete, môžete preskočiť konfiguráciu nastavenia siete a postupovať podľa krokov v Nastavte virtuálny počítač Hybrid Data Security na konfiguráciu nastavení z konzoly uzla.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  11

                                                                                                                                                  Kliknite pravým tlačidlom myši na uzol VM a potom vyberte Moc > Zapnutie .

                                                                                                                                                  Softvér Hybrid Data Security je nainštalovaný ako hosť na hostiteľovi VM. Teraz ste pripravení prihlásiť sa do konzoly a nakonfigurovať uzol.

                                                                                                                                                  Tipy na riešenie problémov

                                                                                                                                                  Môžete zaznamenať oneskorenie niekoľkých minút, kým sa kontajnery uzlov objavia. Počas prvého spustenia, počas ktorého sa nemôžete prihlásiť, sa na konzole zobrazí správa brány firewall mosta.

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Tento postup použite na prvé prihlásenie do konzoly VM uzla Hybrid Data Security a nastavenie prihlasovacích poverení. Konzolu môžete použiť aj na konfiguráciu sieťových nastavení pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  1

                                                                                                                                                  V klientovi VMware vSphere vyberte svoj uzol Hybrid Data Security VM a vyberte Konzola tab.

                                                                                                                                                  VM sa spustí a zobrazí sa výzva na prihlásenie. Ak sa výzva na prihlásenie nezobrazí, stlačte Zadajte.
                                                                                                                                                  2

                                                                                                                                                  Na prihlásenie a zmenu poverení použite nasledujúce predvolené prihlasovacie meno a heslo:

                                                                                                                                                  1. Prihlásiť sa: admin

                                                                                                                                                  2. heslo: cisco

                                                                                                                                                  Keďže sa do svojho VM prihlasujete prvýkrát, musíte zmeniť heslo správcu.

                                                                                                                                                  3

                                                                                                                                                  Ak ste už nakonfigurovali nastavenia siete v Nainštalujte HDS Host OVA, preskočte zvyšok tohto postupu. V opačnom prípade vyberte v hlavnom menu položku Upraviť konfiguráciu možnosť.

                                                                                                                                                  4

                                                                                                                                                  Nastavte statickú konfiguráciu s IP adresou, maskou, bránou a informáciami DNS. Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  5

                                                                                                                                                  (Voliteľné) Zmeňte názov hostiteľa, doménu alebo server(y) NTP, ak je to potrebné, aby zodpovedali zásadám vašej siete.

                                                                                                                                                  Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                  6

                                                                                                                                                  Uložte konfiguráciu siete a reštartujte VM, aby sa zmeny prejavili.

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Tento postup použite na konfiguráciu virtuálneho počítača zo súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pretože súbor ISO obsahuje hlavný kľúč, mal by byť zverejnený iba na základe „potreby vedieť“, aby k nemu mali prístup virtuálne počítače s hybridným zabezpečením údajov a všetci správcovia, ktorí môžu potrebovať vykonať zmeny. Uistite sa, že k úložisku údajov majú prístup iba títo správcovia.

                                                                                                                                                  1

                                                                                                                                                  Nahrajte súbor ISO z počítača:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite na server ESXi.

                                                                                                                                                  2. Na karte Konfigurácia v zozname Hardvér kliknite na Skladovanie.

                                                                                                                                                  3. V zozname Úložisko údajov kliknite pravým tlačidlom myši na úložisko údajov pre vaše VM a kliknite Prehľadávať Datastore.

                                                                                                                                                  4. Kliknite na ikonu Nahrať súbory a potom kliknite na Nahrajte súbor.

                                                                                                                                                  5. Prejdite do umiestnenia, z ktorého ste si stiahli súbor ISO do počítača, a kliknite OTVORENÉ.

                                                                                                                                                  6. Kliknite Áno akceptujte varovanie o operácii nahrávania/sťahovania a zatvorte dialógové okno úložiska údajov.

                                                                                                                                                  2

                                                                                                                                                  Pripojte súbor ISO:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  2. Kliknite OK akceptujete varovanie s obmedzenými možnosťami úprav.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO úložiska údajov a prejdite do umiestnenia, kam ste nahrali konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojené a Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a reštartujte virtuálny počítač.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak to vyžaduje vaša politika IT, môžete voliteľne odpojiť súbor ISO po tom, čo všetky vaše uzly prevezmú zmeny konfigurácie. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje server proxy, použite tento postup na určenie typu servera proxy, s ktorým sa chcete integrovať Hybridná bezpečnosť dát. Ak si vyberiete transparentný kontrolný proxy server alebo explicitný proxy server HTTPS, môžete použiť rozhranie uzla na nahranie a inštaláciu koreňového certifikátu. Môžete tiež skontrolovať pripojenie proxy z rozhrania a vyriešiť prípadné problémy.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  1

                                                                                                                                                  Zadajte adresu URL nastavenia uzla HDS https://[HDS Node IP or FQDN]/setup vo webovom prehliadači zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Trust Store a proxya potom vyberte možnosť:

                                                                                                                                                  • Žiadny proxy– Predvolená možnosť pred integráciou servera proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný nekontrolujúci zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný kontrolný zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera. Na serveri nie sú potrebné žiadne zmeny konfigurácie HTTPS Hybridná bezpečnosť dát nasadenie, uzly HDS však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).
                                                                                                                                                  • Explicitný proxy—Pri explicitnom serveri proxy poviete klientovi (uzly HDS), ktorý server proxy má použiť, a táto možnosť podporuje niekoľko typov autentifikácie. Po výbere tejto možnosti musíte zadať nasledujúce informácie:
                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol— Vyberte si http (prezerá a kontroluje všetky požiadavky, ktoré sú prijaté od klienta) resp https (poskytuje kanál pre server a klient prijíma a overuje certifikát servera). Vyberte možnosť podľa toho, čo váš proxy server podporuje.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné iba pre servery proxy HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                  Postupujte podľa nasledujúcich krokov pre transparentný kontrolný proxy server, explicitný proxy server HTTP so základným overením alebo explicitný proxy HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Kliknite Nahrajte koreňový certifikát alebo certifikát koncovej entitya potom prejdite na výber koreňového certifikátu pre server proxy.

                                                                                                                                                  Certifikát je nahraný, ale ešte nie je nainštalovaný, pretože na inštaláciu certifikátu musíte reštartovať uzol. Kliknutím na šípku v tvare šípky vedľa názvu vydavateľa certifikátu získate ďalšie podrobnosti alebo kliknite Odstrániť ak ste urobili chybu a chcete súbor znova nahrať.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy na testovanie sieťového pripojenia medzi uzlom a proxy.

                                                                                                                                                  Ak test pripojenia zlyhá, zobrazí sa chybové hlásenie, ktoré uvádza dôvod a spôsob, ako môžete problém vyriešiť.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS. Tento stav sa očakáva v mnohých explicitných konfiguráciách proxy. Môžete pokračovať v nastavovaní a uzol bude fungovať v režime zablokovaného externého rozlíšenia DNS. Ak si myslíte, že ide o chybu, vykonajte tieto kroky a potom uvidíte Vypnite režim zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  5

                                                                                                                                                  Po úspešnom teste pripojenia zapnite prepínač v prípade explicitného servera proxy nastaveného iba na https Smerujte všetky požiadavky https z tohto uzla na port 443/444 cez explicitný proxy server. Toto nastavenie sa prejaví po 15 sekundách.

                                                                                                                                                  6

                                                                                                                                                  Kliknite Nainštalujte všetky certifikáty do dôveryhodného úložiska (zobrazí sa pri explicitnom HTTPS proxy alebo transparentnom kontrolnom proxy serveri) alebo Reštartovať (zobrazí sa pri explicitnom serveri proxy HTTP), prečítajte si výzvu a potom kliknite Inštalácia ak si pripravený.

                                                                                                                                                  Uzol sa reštartuje v priebehu niekoľkých minút.

                                                                                                                                                  7

                                                                                                                                                  Po reštartovaní uzla sa v prípade potreby znova prihláste a potom otvorte Prehľad stránku a skontrolujte kontroly pripojenia, aby ste sa uistili, že sú všetky v zelenom stave.

                                                                                                                                                  Kontrola pripojenia proxy testuje iba subdoménu webex.com. Ak sa vyskytnú problémy s pripojením, bežným problémom je, že niektoré z cloudových domén uvedených v pokynoch na inštaláciu sú na serveri proxy blokované.

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Táto úloha preberá všeobecný uzol, ktorý ste vytvorili v Nastavte virtuálny počítač Hybrid Data Security, zaregistruje uzol do cloudu Webex a zmení ho na uzol Hybrid Data Security.

                                                                                                                                                  Keď zaregistrujete svoj prvý uzol, vytvoríte klaster, ku ktorému je uzol priradený. Klaster obsahuje jeden alebo viac uzlov nasadených na zabezpečenie redundancie.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  V ponuke na ľavej strane obrazovky vyberte položku Služby.

                                                                                                                                                  3

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite Nastaviť.

                                                                                                                                                  Zobrazí sa stránka Register Hybrid Data Security Node.
                                                                                                                                                  4

                                                                                                                                                  Vyberte Áno na označenie, že ste uzol nastavili a ste pripravení ho zaregistrovať, a potom kliknite Ďalšie.

                                                                                                                                                  5

                                                                                                                                                  Do prvého poľa zadajte názov klastra, ku ktorému chcete priradiť váš uzol Hybrid Data Security.

                                                                                                                                                  Odporúčame pomenovať klaster podľa toho, kde sa geograficky nachádzajú uzly klastra. Príklady: „San Francisco“ alebo „New York“ alebo „Dallas“

                                                                                                                                                  6

                                                                                                                                                  Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                  Táto adresa IP alebo FQDN by sa mala zhodovať s adresou IP alebo názvom hostiteľa a doménou, ktorú ste použili Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  Zobrazí sa správa, že môžete zaregistrovať svoj uzol do Webexu.
                                                                                                                                                  7

                                                                                                                                                  Kliknite Prejdite na Node.

                                                                                                                                                  8

                                                                                                                                                  Kliknite ďalej vo varovnej správe.

                                                                                                                                                  Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že svojej organizácii Webex chcete udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  9

                                                                                                                                                  Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                  Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  10

                                                                                                                                                  Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Na Hybridná bezpečnosť dát sa zobrazí nový klaster obsahujúci uzol, ktorý ste zaregistrovali. Uzol si automaticky stiahne najnovší softvér z cloudu.

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Ak chcete do svojho klastra pridať ďalšie uzly, jednoducho vytvoríte ďalšie virtuálne počítače a pripojíte rovnaký konfiguračný súbor ISO a potom uzol zaregistrujete. Odporúčame, aby ste mali aspoň 3 uzly.

                                                                                                                                                   

                                                                                                                                                  V súčasnosti sú záložné virtuálne počítače, ktoré ste vytvorili Vyplňte Predpoklady pre hybridnú bezpečnosť údajov sú pohotovostní hostitelia, ktorí sa používajú iba v prípade obnovy po havárii; dovtedy nie sú registrovaní v systéme. Podrobnosti nájdete v časti Obnova po havárii pomocou pohotovostného dátového centra.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Vytvorte nový virtuálny počítač z OVA zopakovaním krokov Nainštalujte HDS Host OVA.

                                                                                                                                                  2

                                                                                                                                                  Nastavte počiatočnú konfiguráciu na novom VM zopakovaním krokov v Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Na novom virtuálnom počítači zopakujte kroky v Nahrajte a pripojte ISO konfiguráciu HDS.

                                                                                                                                                  4

                                                                                                                                                  Ak nastavujete server proxy pre svoje nasadenie, zopakujte kroky v Nakonfigurujte uzol HDS na integráciu proxy podľa potreby pre nový uzol.

                                                                                                                                                  5

                                                                                                                                                  Zaregistrujte uzol.

                                                                                                                                                  1. In https://admin.webex.com, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2. V časti Hybridné služby nájdite kartu Hybrid Data Security a kliknite na ňu Zdroje.

                                                                                                                                                    Zobrazí sa stránka Hybrid Data Security Resources.
                                                                                                                                                  3. Kliknite Pridať zdroj.

                                                                                                                                                  4. V prvom poli vyberte názov vášho existujúceho klastra.

                                                                                                                                                  5. Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                    Zobrazí sa správa oznamujúca, že svoj uzol môžete zaregistrovať do cloudu Webex.
                                                                                                                                                  6. Kliknite Prejdite na Node.

                                                                                                                                                    Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že chcete svojej organizácii udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  7. Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                    Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  8. Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Váš uzol je zaregistrovaný. Upozorňujeme, že kým nezačnete skúšobnú verziu, vaše uzly generujú alarm, ktorý oznamuje, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)
                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby

                                                                                                                                                  Skúšobný postup produkčných úloh

                                                                                                                                                  Po nastavení klastra Hybrid Data Security môžete spustiť pilotný test, pridať doň používateľov a začať ho používať na testovanie a overovanie vášho nasadenia v rámci prípravy na prechod do produkcie.

                                                                                                                                                  1

                                                                                                                                                  V prípade potreby synchronizujte HdsTrialGroup skupinový objekt.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu pred spustením skúšobnej verzie. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Začnite skúšobnú verziu. Kým nevykonáte túto úlohu, vaše uzly generujú alarm, ktorý oznamuje, že služba ešte nie je aktivovaná.

                                                                                                                                                  3

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Skontrolujte, či kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Skontrolujte stav a nastavte e-mailové upozornenia na budíky.

                                                                                                                                                  5

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  6

                                                                                                                                                  Dokončite skúšobnú fázu jedným z nasledujúcich krokov:

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu predtým, ako začnete skúšobnú verziu pre vašu organizáciu. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Spustiť skúšku.

                                                                                                                                                  Stav služby sa zmení na skúšobný režim.
                                                                                                                                                  4

                                                                                                                                                  Kliknite Pridať používateľov a zadajte e-mailovú adresu jedného alebo viacerých používateľov na pilotné používanie vašich uzlov Hybrid Data Security na šifrovacie a indexovacie služby.

                                                                                                                                                  (Ak vaša organizácia používa synchronizáciu adresárov, na správu skúšobnej skupiny použite službu Active Directory, HdsTrialGroup.)

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Tento postup použite na testovanie scenárov šifrovania Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nastavte nasadenie Hybrid Data Security.

                                                                                                                                                  • Aktivujte skúšobnú verziu a pridajte niekoľko používateľov skúšobnej verzie.

                                                                                                                                                  • Uistite sa, že máte prístup k syslog, aby ste si overili, že kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Prihláste sa do aplikácie Webex ako jeden z pilotných používateľov a potom vytvorte priestor a pozvite aspoň jedného pilotného používateľa a jedného nepilotného používateľa.


                                                                                                                                                   

                                                                                                                                                  Ak deaktivujete nasadenie Hybrid Data Security, obsah v priestoroch, ktoré vytvoria pilotní používatelia, už nebude prístupný po výmene kópií šifrovacích kľúčov uložených vo vyrovnávacej pamäti klienta.

                                                                                                                                                  2

                                                                                                                                                  Posielajte správy do nového priestoru.

                                                                                                                                                  3

                                                                                                                                                  Skontrolujte výstup syslog, aby ste si overili, že požiadavky na kľúče prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1. Ak chcete skontrolovať, či používateľ najprv vytvoril zabezpečený kanál pre KMS, filtrujte kms.data.method=create a kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam, ako je tento (identifikátory skrátené kvôli čitateľnosti):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Ak chcete skontrolovať používateľa, ktorý požaduje existujúci kľúč z KMS, filtrujte kms.data.method=retrieve a kms.data.type=KEY:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Ak chcete skontrolovať používateľa požadujúceho vytvorenie nového kľúča KMS, filtrujte kms.data.method=create a kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Ak chcete pri vytváraní priestoru alebo iného chráneného zdroja skontrolovať používateľa požadujúceho vytvorenie nového objektu KMS (KRO), filtrujte na kms.data.method=create a kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Indikátor stavu v Control Hub vám ukáže, či je s nasadením Hybrid Data Security všetko v poriadku. Ak chcete dostávať proaktívnejšie upozornenia, prihláste sa na odber e-mailových upozornení. Budete upozornení, keď sa vyskytnú alarmy alebo aktualizácie softvéru ovplyvňujúce službu.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite nastavenie.

                                                                                                                                                  Zobrazí sa stránka Hybrid Data Security Settings.
                                                                                                                                                  3

                                                                                                                                                  V časti E-mailové upozornenia zadajte jednu alebo viac e-mailových adries oddelených čiarkami a stlačte Zadajte.

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  Po aktivácii skúšobnej verzie a pridaní počiatočnej skupiny používateľov skúšobnej verzie môžete členov skúšobnej verzie kedykoľvek pridať alebo odstrániť, kým je skúšobná verzia aktívna.

                                                                                                                                                  Ak odstránite používateľa zo skúšobnej verzie, klient tohto používateľa bude namiesto vášho KMS požadovať kľúče a vytvorenie kľúča z cloudového KMS. Ak klient potrebuje kľúč, ktorý je uložený vo vašom KMS, cloudový KMS ho načíta v mene používateľa.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, použite Active Directory (namiesto tohto postupu) na správu skúšobnej skupiny, HdsTrialGroup; členov skupiny môžete zobraziť v Control Hub, ale nemôžete ich pridávať ani odstraňovať.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Skúšobný režim v oblasti Stav služby kliknite na Pridať používateľov, alebo kliknite zobraziť a upraviť na odstránenie používateľov zo skúšobnej verzie.

                                                                                                                                                  4

                                                                                                                                                  Zadajte e-mailovú adresu jedného alebo viacerých používateľov, ktorých chcete pridať, alebo kliknite na X pomocou ID používateľa na odstránenie používateľa zo skúšobnej verzie. Potom kliknite Uložiť.

                                                                                                                                                  Presuňte sa zo skúšobnej do produkčnej verzie

                                                                                                                                                  Keď ste spokojní, že vaše nasadenie funguje dobre pre skúšobných používateľov, môžete prejsť do produkcie. Keď prejdete do produkcie, všetci používatelia v organizácii budú používať vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Z produkcie sa nemôžete vrátiť späť do skúšobného režimu, pokiaľ službu nedeaktivujete ako súčasť obnovy po havárii. Opätovná aktivácia služby vyžaduje nastavenie novej skúšobnej verzie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Presunúť do výroby.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete presunúť všetkých svojich používateľov do produkcie.

                                                                                                                                                  Ukončite skúšobnú verziu bez presunu do výroby

                                                                                                                                                  Ak sa počas skúšobného obdobia rozhodnete nepokračovať v nasadení Hybrid Data Security, môžete deaktivovať Hybrid Data Security, čím sa skúšobná verzia ukončí a skúšobní používatelia sa presunú späť ku cloudovým službám zabezpečenia údajov. Používatelia skúšobnej verzie stratia prístup k údajom, ktoré boli počas skúšobnej verzie zašifrované.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Deaktivovať kliknite na Deaktivovať.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete službu deaktivovať a ukončiť skúšobnú verziu.

                                                                                                                                                  Spravujte svoje nasadenie HDS

                                                                                                                                                  Spravujte nasadenie HDS

                                                                                                                                                  Pomocou tu popísaných úloh spravujte svoje nasadenie Hybrid Data Security.

                                                                                                                                                  Nastavte plán aktualizácie klastra

                                                                                                                                                  Aktualizácie softvéru pre Hybrid Data Security sa vykonávajú automaticky na úrovni klastra, čo zaisťuje, že všetky uzly vždy bežia s rovnakou verziou softvéru. Inovácie sa vykonávajú podľa plánu aktualizácie pre klaster. Keď bude k dispozícii aktualizácia softvéru, máte možnosť manuálne aktualizovať klaster pred plánovaným časom aktualizácie. Môžete nastaviť konkrétny plán inovácie alebo použiť predvolený plán na 3:00 denne v USA: Amerika/Los Angeles. V prípade potreby môžete tiež odložiť nadchádzajúcu inováciu.

                                                                                                                                                  Ak chcete nastaviť plán aktualizácie:

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Na stránke Prehľad v časti Hybridné služby vyberte Hybridná bezpečnosť dát.

                                                                                                                                                  3

                                                                                                                                                  Na stránke Hybrid Data Security Resources vyberte klaster.

                                                                                                                                                  4

                                                                                                                                                  Na paneli Prehľad vpravo v časti Nastavenia klastra vyberte názov klastra.

                                                                                                                                                  5

                                                                                                                                                  Na stránke Nastavenia v časti Aktualizácia vyberte čas a časové pásmo pre plán inovácie.

                                                                                                                                                  Poznámka: Pod časovým pásmom sa zobrazí dátum a čas ďalšej dostupnej aktualizácie. Kliknutím na tlačidlo môžete v prípade potreby odložiť aktualizáciu na nasledujúci deň Odložiť.

                                                                                                                                                  Zmeňte konfiguráciu uzla

                                                                                                                                                  Príležitostne možno budete musieť zmeniť konfiguráciu uzla Hybrid Data Security z nasledujúcich dôvodov:
                                                                                                                                                  • Zmena x.509 certifikátov z dôvodu uplynutia platnosti alebo iných dôvodov.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme zmenu názvu domény CN certifikátu. Doména sa musí zhodovať s pôvodnou doménou použitou na registráciu klastra.

                                                                                                                                                  • Aktualizácia nastavení databázy pre zmenu na repliku databázy PostgreSQL alebo Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server alebo opačným spôsobom. Ak chcete zmeniť prostredie databázy, spustite nové nasadenie Hybrid Data Security.

                                                                                                                                                  • Vytvorenie novej konfigurácie na prípravu nového dátového centra.

                                                                                                                                                  Z bezpečnostných dôvodov používa Hybrid Data Security heslá servisných účtov, ktoré majú životnosť deväť mesiacov. Keď nástroj HDS Setup vygeneruje tieto heslá, nasadíte ich do každého z vašich uzlov HDS v konfiguračnom súbore ISO. Keď sa blíži koniec platnosti hesiel vašej organizácie, dostanete od tímu Webex upozornenie na resetovanie hesla pre váš počítačový účet. (E-mail obsahuje text „Na aktualizáciu hesla použite rozhranie API strojového účtu.“) Ak platnosť vašich hesiel ešte nevypršala, nástroj vám ponúka dve možnosti:

                                                                                                                                                  • Mäkký reset—Staré aj nové heslo fungujú až 10 dní. Toto obdobie použite na postupnú výmenu súboru ISO na uzloch.

                                                                                                                                                  • Tvrdý reštart—Staré heslá okamžite prestanú fungovať.

                                                                                                                                                  Ak platnosť vašich hesiel vyprší bez resetovania, ovplyvní to vašu službu HDS, čo si vyžaduje okamžitý tvrdý reset a nahradenie súboru ISO na všetkých uzloch.

                                                                                                                                                  Tento postup použite na vygenerovanie nového konfiguračného súboru ISO a jeho použitie vo vašom klastri.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak je nástroj HDS Setup vo vašom prostredí spustený za serverom proxy, pri spúšťaní kontajnera Docker zadajte nastavenia proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 1.e. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Na vygenerovanie novej konfigurácie potrebujete kópiu aktuálneho konfiguračného súboru ISO. ISO obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. ISO potrebujete, keď robíte zmeny v konfigurácii vrátane poverení databázy, aktualizácií certifikátov alebo zmien v politike autorizácie.

                                                                                                                                                  1

                                                                                                                                                  Pomocou Docker na lokálnom počítači spustite nástroj HDS Setup Tool.

                                                                                                                                                  1. Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2. Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                    V bežných prostrediach:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    V prostrediach FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Uistite sa, že ste na tento postup použili najnovší nástroj Setup. Verzie nástroja vytvorené pred 22. februárom 2018 neobsahujú obrazovky na obnovenie hesla.

                                                                                                                                                  5. Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                    • V bežných prostrediach bez servera proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V bežných prostrediach s HTTPSproxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • V prostrediach FedRAMP bez proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6. Použite prehliadač na pripojenie k localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  7. Po zobrazení výzvy zadajte svoje prihlasovacie údaje zákazníka Control Hub a potom kliknite súhlasiť pokračovať.

                                                                                                                                                  8. Importujte aktuálny konfiguračný súbor ISO.

                                                                                                                                                  9. Postupujte podľa pokynov na dokončenie nástroja a stiahnite si aktualizovaný súbor.

                                                                                                                                                    Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  10. Vytvorte záložnú kópiu aktualizovaného súboru v inom údajovom centre.

                                                                                                                                                  2

                                                                                                                                                  Ak máte spustený iba jeden uzol HDS, vytvorte nový VM uzla Hybrid Data Security a zaregistrujte ho pomocou nového konfiguračného súboru ISO. Podrobnejšie pokyny nájdete v časti Vytvorte a zaregistrujte viac uzlov.

                                                                                                                                                  1. Nainštalujte hostiteľský OVA HDS.

                                                                                                                                                  2. Nastavte HDS VM.

                                                                                                                                                  3. Pripojte aktualizovaný konfiguračný súbor.

                                                                                                                                                  4. Zaregistrujte nový uzol v Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Pre existujúce uzly HDS, na ktorých je spustený starší konfiguračný súbor, pripojte súbor ISO. Postupne vykonajte nasledujúci postup na každom uzle, pričom aktualizujte každý uzol pred vypnutím ďalšieho uzla:

                                                                                                                                                  1. Vypnite virtuálny stroj.

                                                                                                                                                  2. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO a prejdite do umiestnenia, kam ste stiahli nový konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a zapnite virtuálny počítač.

                                                                                                                                                  4

                                                                                                                                                  Opakujte krok 3, aby ste nahradili konfiguráciu na každom zostávajúcom uzle, na ktorom je spustená stará konfigurácia.

                                                                                                                                                  Vypnite režim zablokovaného externého rozlíšenia DNS

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. Ak server DNS uzla nedokáže rozlíšiť verejné názvy DNS, uzol automaticky prejde do režimu zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  Ak vaše uzly dokážu rozlíšiť verejné názvy DNS prostredníctvom interných serverov DNS, môžete tento režim vypnúť opätovným spustením testu pripojenia proxy na každom uzle.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Uistite sa, že vaše interné servery DNS dokážu rozlíšiť verejné názvy DNS a že vaše uzly s nimi môžu komunikovať.
                                                                                                                                                  1

                                                                                                                                                  Vo webovom prehliadači otvorte rozhranie uzla Hybrid Data Security (IP adresa/nastavenie, napr. https://192.0.2.0/setup), zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Prehľad (predvolená stránka).

                                                                                                                                                  Keď je povolené, Zablokované externé rozlíšenie DNS je nastavený na Áno.

                                                                                                                                                  3

                                                                                                                                                  Choďte na Trust Store a proxy stránku.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS a zostane v tomto režime. V opačnom prípade po reštartovaní uzla a návrate do Prehľad na stránke Blocked External DNS Resolution by mala byť nastavená na no.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zopakujte test pripojenia proxy na každom uzle v klastri Hybrid Data Security.

                                                                                                                                                  Odstráňte uzol

                                                                                                                                                  Tento postup použite na odstránenie uzla Hybrid Data Security z cloudu Webex. Po odstránení uzla z klastra odstráňte virtuálny počítač, aby ste zabránili ďalšiemu prístupu k vašim bezpečnostným údajom.
                                                                                                                                                  1

                                                                                                                                                  Pomocou klienta VMware vSphere vo svojom počítači sa prihláste do virtuálneho hostiteľa ESXi a vypnite virtuálny počítač.

                                                                                                                                                  2

                                                                                                                                                  Odstráňte uzol:

                                                                                                                                                  1. Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2. Na karte Hybrid Data Security kliknite na Zobraziť všetko zobrazíte stránku Hybrid Data Security Resources.

                                                                                                                                                  3. Vyberte svoj klaster, aby sa zobrazil jeho panel Prehľad.

                                                                                                                                                  4. Kliknite Otvorte zoznam uzlov.

                                                                                                                                                  5. Na karte Uzly vyberte uzol, ktorý chcete odstrániť.

                                                                                                                                                  6. Kliknite Akcie > Zrušte registráciu uzla.

                                                                                                                                                  3

                                                                                                                                                  V klientovi vSphere odstráňte VM. (Na ľavom navigačnom paneli kliknite pravým tlačidlom myši na VM a kliknite na Odstrániť.)

                                                                                                                                                  Ak nevymažete VM, nezabudnite odpojiť konfiguračný súbor ISO. Bez súboru ISO nemôžete použiť VM na prístup k bezpečnostným údajom.

                                                                                                                                                  Obnova po havárii pomocou pohotovostného dátového centra

                                                                                                                                                  Najdôležitejšou službou, ktorú váš klaster Hybrid Data Security poskytuje, je vytváranie a ukladanie kľúčov používaných na šifrovanie správ a iného obsahu uloženého v cloude Webex. Pre každého používateľa v rámci organizácie, ktorý je priradený k Hybrid Data Security, sú do klastra smerované nové požiadavky na vytvorenie kľúča. Klaster je tiež zodpovedný za vrátenie kľúčov, ktoré vytvoril, všetkým používateľom oprávneným na ich získanie, napríklad členom konverzačného priestoru.

                                                                                                                                                  Pretože klaster vykonáva kritickú funkciu poskytovania týchto kľúčov, je nevyhnutné, aby klaster zostal spustený a aby boli udržiavané správne zálohy. Strata databázy Hybrid Data Security alebo konfigurácie ISO použitej pre schému bude mať za následok NENÁVRATNÚ STRATU zákazníckeho obsahu. Aby sa predišlo takejto strate, sú povinné nasledujúce postupy:

                                                                                                                                                  Ak havária spôsobí, že nasadenie HDS v primárnom dátovom centre sa stane nedostupným, podľa tohto postupu manuálne prepnite na pohotovostné dátové centrum.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie alebo odstráňte passiveMode konfiguráciu, aby bol uzol aktívny. Keď je toto nakonfigurované, uzol môže spracovať prevádzku.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte výstup syslog a overte, či uzly pohotovostného dátového centra nie sú v pasívnom režime. V syslogoch by sa nemalo objaviť „KMS nakonfigurované v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak sa po prepnutí pri zlyhaní opäť aktivuje primárne dátové centrum, uveďte pohotovostné dátové centrum opäť do pasívneho režimu podľa krokov popísaných v časti Nastavte pohotovostné dátové centrum pre obnovu po havárii.

                                                                                                                                                  (Voliteľné) Odpojte ISO po konfigurácii HDS

                                                                                                                                                  Štandardná konfigurácia HDS beží s namontovaným ISO. Niektorí zákazníci však uprednostňujú neponechať súbory ISO nepretržite pripojené. Súbor ISO môžete odpojiť potom, čo všetky uzly HDS prevezmú novú konfiguráciu.

                                                                                                                                                  Na vykonanie zmien v konfigurácii stále používate súbory ISO. Keď vytvoríte nový ISO alebo aktualizujete ISO pomocou nástroja Setup Tool, musíte aktualizovaný ISO pripojiť na všetky vaše uzly HDS. Keď všetky vaše uzly zachytia zmeny konfigurácie, môžete ISO znova odpojiť pomocou tohto postupu.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Inovujte všetky svoje uzly HDS na verziu 2021.01.22.4720 alebo novšiu.

                                                                                                                                                  1

                                                                                                                                                  Vypnite jeden z uzlov HDS.

                                                                                                                                                  2

                                                                                                                                                  V serverovom zariadení vCenter vyberte uzol HDS.

                                                                                                                                                  3

                                                                                                                                                  Vyberte si Upraviť nastavenia > CD/DVD mechanika a zrušte začiarknutie Súbor ISO úložiska údajov.

                                                                                                                                                  4

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 20 minút nie sú žiadne alarmy.

                                                                                                                                                  5

                                                                                                                                                  Postup opakujte pre každý uzol HDS.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Zobraziť upozornenia a riešenie problémov

                                                                                                                                                  Nasadenie Hybrid Data Security sa považuje za nedostupné, ak sú všetky uzly v klastri nedostupné alebo klaster pracuje tak pomaly, že si vyžaduje časový limit. Ak používatelia nemôžu dosiahnuť váš klaster Hybrid Data Security, zaznamenajú nasledujúce príznaky:

                                                                                                                                                  • Nie je možné vytvoriť nové medzery (nemožno vytvoriť nové kľúče)

                                                                                                                                                  • Správy a názvy priestorov sa nepodarilo dešifrovať pre:

                                                                                                                                                    • Noví používatelia pridaní do priestoru (nemožno načítať kľúče)

                                                                                                                                                    • Existujúci používatelia v priestore používajúci nového klienta (nemožno načítať kľúče)

                                                                                                                                                  • Existujúci používatelia v priestore budú naďalej úspešne fungovať, pokiaľ budú mať ich klienti vyrovnávaciu pamäť šifrovacích kľúčov

                                                                                                                                                  Je dôležité, aby ste správne monitorovali svoj klaster Hybrid Data Security a okamžite riešili všetky výstrahy, aby ste predišli prerušeniu služby.

                                                                                                                                                  Upozornenia

                                                                                                                                                  Ak sa vyskytne problém s nastavením Hybrid Data Security, Control Hub zobrazí upozornenia správcovi organizácie a odošle e-maily na nakonfigurovanú e-mailovú adresu. Výstrahy pokrývajú mnoho bežných scenárov.

                                                                                                                                                  Tabuľka č. 1 Bežné problémy a kroky na ich vyriešenie

                                                                                                                                                  Upozornenie

                                                                                                                                                  Akcia

                                                                                                                                                  Zlyhanie prístupu k lokálnej databáze.

                                                                                                                                                  Skontrolujte chyby databázy alebo problémy s lokálnou sieťou.

                                                                                                                                                  Zlyhanie pripojenia k lokálnej databáze.

                                                                                                                                                  Skontrolujte, či je databázový server dostupný a či boli v konfigurácii uzla použité správne poverenia servisného účtu.

                                                                                                                                                  Zlyhanie prístupu k cloudovej službe.

                                                                                                                                                  Skontrolujte, či majú uzly prístup k serverom Webex, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  Obnovuje sa registrácia cloudovej služby.

                                                                                                                                                  Registrácia do cloudových služieb bola zrušená. Prebieha obnova registrácie.

                                                                                                                                                  Registrácia cloudovej služby bola zrušená.

                                                                                                                                                  Registrácia do cloudových služieb bola ukončená. Služba sa vypína.

                                                                                                                                                  Služba ešte nie je aktivovaná.

                                                                                                                                                  Aktivujte skúšobnú verziu alebo dokončite presun skúšky do produkcie.

                                                                                                                                                  Nakonfigurovaná doména sa nezhoduje s certifikátom servera.

                                                                                                                                                  Uistite sa, že váš certifikát servera sa zhoduje s nakonfigurovanou doménou aktivácie služby.

                                                                                                                                                  Najpravdepodobnejšou príčinou je, že certifikát CN bol nedávno zmenený a teraz sa líši od CN, ktorý bol použitý počas počiatočného nastavenia.

                                                                                                                                                  Nepodarilo sa overiť v cloudových službách.

                                                                                                                                                  Skontrolujte presnosť a možné vypršanie platnosti poverení servisného účtu.

                                                                                                                                                  Nepodarilo sa otvoriť súbor lokálneho úložiska kľúčov.

                                                                                                                                                  Skontrolujte integritu a presnosť hesla v lokálnom súbore skladu kľúčov.

                                                                                                                                                  Certifikát lokálneho servera je neplatný.

                                                                                                                                                  Skontrolujte dátum vypršania platnosti certifikátu servera a potvrďte, že bol vydaný dôveryhodnou certifikačnou autoritou.

                                                                                                                                                  Nie je možné uverejniť metriky.

                                                                                                                                                  Skontrolujte prístup k lokálnej sieti k externým cloudovým službám.

                                                                                                                                                  Adresár /media/configdrive/hds neexistuje.

                                                                                                                                                  Skontrolujte konfiguráciu pripojenia ISO na virtuálnom hostiteľovi. Overte, či súbor ISO existuje, či je nakonfigurovaný na pripojenie pri reštarte a či sa úspešne pripojí.

                                                                                                                                                  Riešenie problémov so zabezpečením hybridných údajov

                                                                                                                                                  Pri riešení problémov s Hybrid Data Security použite nasledujúce všeobecné pokyny.
                                                                                                                                                  1

                                                                                                                                                  Skontrolujte si v Control Hub všetky upozornenia a opravte všetky položky, ktoré tam nájdete.

                                                                                                                                                  2

                                                                                                                                                  Skontrolujte výstup servera syslog pre aktivitu z nasadenia Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Kontakt Podpora Cisco.

                                                                                                                                                  Ďalšie poznámky

                                                                                                                                                  Známe problémy s hybridnou bezpečnosťou dát

                                                                                                                                                  • Ak vypnete svoj klaster Hybrid Data Security (odstránením v Control Hub alebo vypnutím všetkých uzlov), stratíte svoj konfiguračný súbor ISO alebo stratíte prístup k databáze úložiska kľúčov, používatelia vašej aplikácie Webex App už nebudú môcť používať priestory pod svojimi ľuďmi. zoznam, ktorý bol vytvorený pomocou kľúčov z vášho KMS. Platí to pre skúšobné aj produkčné nasadenia. V súčasnosti nemáme riešenie ani opravu tohto problému a žiadame vás, aby ste nevypínali svoje služby HDS, keď budú spracovávať aktívne používateľské účty.

                                                                                                                                                  • Klient, ktorý má existujúce pripojenie ECDH ku KMS, udržiava toto pripojenie určitý čas (pravdepodobne jednu hodinu). Keď sa používateľ stane členom skúšobnej verzie Hybrid Data Security, klient používateľa naďalej používa existujúce pripojenie ECDH, kým nevyprší časový limit. Prípadne sa používateľ môže odhlásiť a znova prihlásiť do aplikácie Webex App, aby aktualizoval umiestnenie, ktoré aplikácia kontaktuje pre šifrovacie kľúče.

                                                                                                                                                    Rovnaké správanie nastane, keď presuniete skúšobnú verziu do produkcie organizácie. Všetci neskúšobní používatelia s existujúcimi pripojeniami ECDH k predchádzajúcim službám zabezpečenia údajov budú tieto služby naďalej používať, kým sa znovu nedohodne pripojenie ECDH (prostredníctvom časového limitu alebo odhlásením a opätovným prihlásením).

                                                                                                                                                  Na vygenerovanie súboru PKCS12 použite OpenSSL

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • OpenSSL je jeden nástroj, ktorý možno použiť na vytvorenie súboru PKCS12 v správnom formáte na načítanie v nástroji HDS Setup Tool. Existujú aj iné spôsoby, ako to urobiť, a my nepodporujeme ani nepresadzujeme jeden spôsob oproti druhému.

                                                                                                                                                  • Ak sa rozhodnete použiť OpenSSL, poskytujeme tento postup ako návod, ktorý vám pomôže vytvoriť súbor, ktorý spĺňa požiadavky certifikátu X.509 v Požiadavky na certifikát X.509. Než budete pokračovať, pochopte tieto požiadavky.

                                                                                                                                                  • Nainštalujte OpenSSL v podporovanom prostredí. Pozri https://www.openssl.org pre softvér a dokumentáciu.

                                                                                                                                                  • Vytvorte súkromný kľúč.

                                                                                                                                                  • Tento postup začnite, keď dostanete certifikát servera od certifikačnej autority (CA).

                                                                                                                                                  1

                                                                                                                                                  Keď dostanete certifikát servera od vašej CA, uložte ho ako hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Zobrazte certifikát ako text a overte podrobnosti.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Pomocou textového editora vytvorte súbor zväzku certifikátov s názvom hdsnode-bundle.pem. Súbor balíka musí obsahovať certifikát servera, akékoľvek sprostredkujúce certifikáty CA a certifikáty koreňovej CA vo formáte nižšie:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Vytvorte súbor .p12 s popisným názvom kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Skontrolujte podrobnosti certifikátu servera.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Vo výzve zadajte heslo na zašifrovanie súkromného kľúča, aby bol uvedený vo výstupe. Potom skontrolujte, či súkromný kľúč a prvý certifikát obsahujú riadky friendlyName: kms-private-key.

                                                                                                                                                    Príklad:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Návrat do Vyplňte Predpoklady pre hybridnú bezpečnosť údajov. Budete používať hdsnode.p12 súbor a heslo, ktoré ste preň nastavili Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Tieto súbory môžete znova použiť na vyžiadanie nového certifikátu, keď platnosť pôvodného certifikátu vyprší.

                                                                                                                                                  Prevádzka medzi uzlami HDS a cloudom

                                                                                                                                                  Odchádzajúca návštevnosť zberu metrík

                                                                                                                                                  Uzly Hybrid Data Security odosielajú určité metriky do cloudu Webex. Patria sem systémové metriky pre maximálnu haldu, využitú haldu, zaťaženie procesora a počet vlákien; metriky na synchrónnych a asynchrónnych vláknach; metriky výstrah zahŕňajúce prah šifrovacích pripojení, latenciu alebo dĺžku frontu požiadaviek; metriky na dátovom úložisku; a metriky šifrovaného pripojenia. Uzly posielajú zašifrovaný kľúčový materiál cez kanál mimo pásma (oddelený od požiadavky).

                                                                                                                                                  Prichádzajúca premávka

                                                                                                                                                  Uzly Hybrid Data Security prijímajú nasledujúce typy prichádzajúcej prevádzky z cloudu Webex:

                                                                                                                                                  • Šifrovacie požiadavky od klientov, ktoré sú smerované šifrovacou službou

                                                                                                                                                  • Aktualizácie softvéru uzla

                                                                                                                                                  Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát

                                                                                                                                                  Websocket sa nemôže pripojiť cez Squid Proxy

                                                                                                                                                  Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky ( wss:) pripojenia, ktoré vyžaduje Hybrid Data Security. Tieto časti poskytujú návod, ako nakonfigurovať rôzne verzie Squid na ignorovanie wss: prevádzky pre správne fungovanie služieb.

                                                                                                                                                  Kalmáre 4 a 5

                                                                                                                                                  Pridajte on_unsupported_protocol smernica k squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Kalmáre 3.5.27

                                                                                                                                                  Hybridnú bezpečnosť dát sme úspešne otestovali s nasledujúcimi pravidlami squid.conf. Tieto pravidlá sa môžu meniť, pretože vyvíjame funkcie a aktualizujeme cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Predslov

                                                                                                                                                  Nové a zmenené informácie

                                                                                                                                                  Dátum

                                                                                                                                                  Vykonané zmeny

                                                                                                                                                  20. októbra 2023

                                                                                                                                                  7. augusta 2023

                                                                                                                                                  23. mája 2023

                                                                                                                                                  6. decembra 2022

                                                                                                                                                  23. novembra 2022

                                                                                                                                                  13. októbra 2021

                                                                                                                                                  Pred inštaláciou uzlov HDS musí Docker Desktop spustiť inštalačný program. Pozri Požiadavky na plochu Docker.

                                                                                                                                                  24. júna 2021

                                                                                                                                                  Upozorňujeme, že súbor so súkromným kľúčom a CSR môžete znova použiť na vyžiadanie ďalšieho certifikátu. Pozri Na vygenerovanie súboru PKCS12 použite OpenSSL pre podrobnosti.

                                                                                                                                                  30. apríla 2021

                                                                                                                                                  Požiadavka VM na lokálny pevný disk sa zmenila na 30 GB. Pozri Požiadavky na virtuálny hostiteľ pre podrobnosti.

                                                                                                                                                  24. februára 2021

                                                                                                                                                  HDS Setup Tool teraz môže bežať za serverom proxy. Pozri Vytvorte ISO konfigurácie pre hostiteľov HDS pre podrobnosti.

                                                                                                                                                  2. februára 2021

                                                                                                                                                  HDS teraz môže bežať bez pripojeného súboru ISO. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  11. januára 2021

                                                                                                                                                  Pridané informácie o nástroji HDS Setup a proxy serveroch Vytvorte ISO konfigurácie pre hostiteľov HDS.

                                                                                                                                                  13. októbra 2020

                                                                                                                                                  Aktualizované Stiahnite si inštalačné súbory.

                                                                                                                                                  8. októbra 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla s príkazmi pre prostredia FedRAMP.

                                                                                                                                                  14. augusta 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS a Zmeňte konfiguráciu uzla so zmenami v procese prihlasovania.

                                                                                                                                                  5. augusta 2020

                                                                                                                                                  Aktualizované Otestujte svoje nasadenie hybridného zabezpečenia dát pre zmeny v protokolových správach.

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ na odstránenie maximálneho počtu hostiteľov.

                                                                                                                                                  16. júna 2020

                                                                                                                                                  Aktualizované Odstráňte uzol pre zmeny v používateľskom rozhraní Control Hub.

                                                                                                                                                  4. júna 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS pre zmeny v rozšírených nastaveniach, ktoré môžete nastaviť.

                                                                                                                                                  29. mája 2020

                                                                                                                                                  Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS ukázať, že TLS môžete použiť aj s databázami SQL Server, zmenami používateľského rozhrania a ďalšími vysvetleniami.

                                                                                                                                                  5. mája 2020

                                                                                                                                                  Aktualizované Požiadavky na virtuálny hostiteľ ukázať novú požiadavku ESXi 6.5.

                                                                                                                                                  21. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s novými hostiteľmi Americas CI.

                                                                                                                                                  1. apríla 2020

                                                                                                                                                  Aktualizované Požiadavky na externé pripojenie s informáciami o regionálnych hostiteľoch CI.

                                                                                                                                                  20. februára 2020Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s informáciami o novej voliteľnej obrazovke rozšírených nastavení v nástroji HDS Setup Tool.
                                                                                                                                                  4. februára 2020Aktualizované Požiadavky na proxy server.
                                                                                                                                                  16. decembra 2019Objasnená požiadavka, aby fungoval režim zablokovaného externého rozlíšenia DNS Požiadavky na proxy server.
                                                                                                                                                  19. novembra 2019

                                                                                                                                                  Pridané informácie o režime zablokovaného externého rozlíšenia DNS v nasledujúcich častiach:

                                                                                                                                                  8. novembra 2019

                                                                                                                                                  Teraz môžete konfigurovať sieťové nastavenia pre uzol počas nasadzovania OVA a nie neskôr.

                                                                                                                                                  Podľa toho aktualizovali nasledujúce sekcie:


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  6. septembra 2019

                                                                                                                                                  Pridaný SQL Server Standard do Požiadavky na databázový server.

                                                                                                                                                  29. augusta 2019Pridané Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát príloha s návodom na konfiguráciu proxy serverov Squid tak, aby ignorovali prevádzku websocket pre správnu činnosť.
                                                                                                                                                  20. augusta 2019

                                                                                                                                                  Pridané a aktualizované sekcie pokrývajúce podporu proxy pre komunikáciu uzlov Hybrid Data Security do cloudu Webex.

                                                                                                                                                  Ak chcete získať prístup len k obsahu podpory proxy pre existujúce nasadenie, pozrite si Podpora proxy pre hybridné zabezpečenie dát a Webex Video Mesh pomocný článok.

                                                                                                                                                  13. júna 2019Aktualizované Skúšobný postup produkčných úloh s pripomienkou na synchronizáciu HdsTrialGroup skupinový objekt pred spustením skúšobnej verzie, ak vaša organizácia používa synchronizáciu adresárov.
                                                                                                                                                  6. marca 2019
                                                                                                                                                  28. februára 2019
                                                                                                                                                  • Opravené množstvo miesta na lokálnom pevnom disku na server, ktoré by ste si mali vyčleniť pri príprave virtuálnych hostiteľov, ktorí sa stanú uzlami Hybrid Data Security, z 50 GB na 20 GB, aby odrážali veľkosť disku, ktorý vytvára OVA.

                                                                                                                                                  26. februára 2019
                                                                                                                                                  • Uzly Hybrid Data Security teraz podporujú šifrované pripojenia s databázovými servermi PostgreSQL a šifrované protokolované pripojenia k serveru syslog s podporou TLS. Aktualizované Vytvorte ISO konfigurácie pre hostiteľov HDS s návodom.

                                                                                                                                                  • Odstránili sa cieľové adresy URL z tabuľky „Požiadavky na internetové pripojenie pre virtuálne počítače s uzlom na zabezpečenie hybridných údajov“. Tabuľka teraz odkazuje na zoznam udržiavaný v tabuľke „Ďalšie adresy URL pre hybridné služby Webex Teams“ Sieťové požiadavky pre Webex Teams Services.

                                                                                                                                                  24. januára 2019

                                                                                                                                                  • Hybrid Data Security teraz podporuje Microsoft SQL Server ako databázu. SQL Server Always On (Always On Failover Clusters a Always On Availability Groups) je podporovaný ovládačmi JDBC, ktoré sa používajú v Hybrid Data Security. Pridaný obsah súvisiaci s nasadením so serverom SQL Server.


                                                                                                                                                     

                                                                                                                                                    Podpora Microsoft SQL Server je určená len pre nové nasadenia Hybrid Data Security. Momentálne nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server v existujúcom nasadení.

                                                                                                                                                  5. novembra 2018
                                                                                                                                                  19. októbra 2018

                                                                                                                                                  31. júla 2018

                                                                                                                                                  21. mája 2018

                                                                                                                                                  Zmenená terminológia, aby odrážala rebranding Cisco Spark:

                                                                                                                                                  • Cisco Spark Hybrid Data Security je teraz Hybrid Data Security.

                                                                                                                                                  • Aplikácia Cisco Spark je teraz aplikáciou Webex App.

                                                                                                                                                  • Cisco Collaboraton Cloud je teraz cloud Webex.

                                                                                                                                                  11. apríla 2018
                                                                                                                                                  22. februára 2018
                                                                                                                                                  15. február 2018
                                                                                                                                                  • V Požiadavky na certifikát X.509 Tabuľka špecifikovala, že certifikát nemôže byť zástupný certifikát a že KMS používa doménu CN, nie akúkoľvek doménu, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  18. januára 2018

                                                                                                                                                  2. novembra 2017

                                                                                                                                                  • Vyjasnená synchronizácia adresárov skupiny HdsTrialGroup.

                                                                                                                                                  • Opravené pokyny na nahrávanie konfiguračného súboru ISO na pripojenie do uzlov VM.

                                                                                                                                                  18. augusta 2017

                                                                                                                                                  Prvýkrát zverejnené

                                                                                                                                                  Začnite s hybridným zabezpečením dát

                                                                                                                                                  Prehľad zabezpečenia hybridných údajov

                                                                                                                                                  Od prvého dňa bola bezpečnosť údajov prvoradá pri navrhovaní Aplikácia Webex. Základným kameňom tohto zabezpečenia je komplexné šifrovanie obsahu, ktoré umožňuje Aplikácia Webex klientov interagujúcich so službou správy kľúčov (KMS). KMS je zodpovedný za vytváranie a správu kryptografických kľúčov, ktoré klienti používajú na dynamické šifrovanie a dešifrovanie správ a súborov.

                                                                                                                                                  Štandardne všetky Aplikácia Webex zákazníci získajú end-to-end šifrovanie s dynamickými kľúčmi uloženými v cloudovom KMS v oblasti bezpečnosti Cisco. Hybrid Data Security presúva KMS a ďalšie funkcie súvisiace so zabezpečením do vášho podnikového dátového centra, takže kľúče k vášmu šifrovanému obsahu nemá nikto okrem vás.

                                                                                                                                                  Architektúra bezpečnostnej sféry

                                                                                                                                                  Cloudová architektúra Webex oddeľuje rôzne typy služieb do samostatných oblastí alebo dôveryhodných domén, ako je znázornené nižšie.

                                                                                                                                                  Realms of Separation (bez Hybrid Data Security)

                                                                                                                                                  Aby sme lepšie porozumeli Hybrid Data Security, pozrime sa najprv na tento čistý cloud, kde Cisco poskytuje všetky funkcie vo svojich cloudových sférach. Služba identity, jediné miesto, kde môžu používatelia priamo korelovať so svojimi osobnými údajmi, ako je e-mailová adresa, je logicky a fyzicky oddelená od oblasti zabezpečenia v dátovom centre B. Obe sú zase oddelené od oblasti, kde je v konečnom dôsledku uložený šifrovaný obsah. , v dátovom centre C.

                                                                                                                                                  V tomto diagrame je klientom aplikácia Webex, ktorá beží na notebooku používateľa a je overená službou identity. Keď používateľ vytvorí správu na odoslanie do priestoru, vykonajú sa tieto kroky:

                                                                                                                                                  1. Klient vytvorí zabezpečené spojenie so službou správy kľúčov (KMS), potom požiada o kľúč na zašifrovanie správy. Zabezpečené pripojenie používa ECDH a KMS šifruje kľúč pomocou hlavného kľúča AES-256.

                                                                                                                                                  2. Správa je pred opustením klienta zašifrovaná. Klient ho odošle do indexovacej služby, ktorá vytvorí šifrované indexy vyhľadávania na pomoc pri budúcom vyhľadávaní obsahu.

                                                                                                                                                  3. Zašifrovaná správa sa odošle do služby súladu na kontrolu súladu.

                                                                                                                                                  4. Zašifrovaná správa je uložená v úložnej sfére.

                                                                                                                                                  Keď nasadíte Hybrid Data Security, presuniete funkcie bezpečnostnej sféry (KMS, indexovanie a súlad) do vášho lokálneho dátového centra. Ostatné cloudové služby, ktoré tvoria Webex (vrátane ukladania identity a obsahu), zostávajú v sférach spoločnosti Cisco.

                                                                                                                                                  Spolupráca s inými organizáciami

                                                                                                                                                  Používatelia vo vašej organizácii môžu pravidelne používať aplikáciu Webex na spoluprácu s externými účastníkmi v iných organizáciách. Keď jeden z vašich používateľov požaduje kľúč pre priestor, ktorý vlastní vaša organizácia (pretože ho vytvoril jeden z vašich používateľov), váš KMS odošle kľúč klientovi cez zabezpečený kanál ECDH. Keď však kľúč priestoru vlastní iná organizácia, váš KMS nasmeruje požiadavku do cloudu Webex cez samostatný kanál ECDH, aby získal kľúč z príslušného KMS, a potom vráti kľúč vášmu používateľovi na pôvodnom kanáli.

                                                                                                                                                  Služba KMS spustená v organizácii A overuje pripojenia ku KMS v iných organizáciách pomocou x.509 PKI certifikátov. Pozri Pripravte si prostredie podrobnosti o generovaní x.509 certifikátu na použitie s nasadením Hybrid Data Security.

                                                                                                                                                  Očakávania týkajúce sa nasadenia hybridnej bezpečnosti údajov

                                                                                                                                                  Nasadenie Hybrid Data Security si vyžaduje značné nasadenie zákazníkov a uvedomenie si rizík, ktoré so sebou prináša vlastníctvo šifrovacích kľúčov.

                                                                                                                                                  Ak chcete nasadiť Hybrid Data Security, musíte poskytnúť:

                                                                                                                                                  Úplná strata buď konfiguračného ISO, ktoré ste vytvorili pre Hybrid Data Security, alebo databázy, ktorú poskytnete, bude mať za následok stratu kľúčov. Strata kľúča bráni používateľom dešifrovať obsah priestoru a ďalšie šifrované údaje v aplikácii Webex. Ak sa tak stane, môžete vytvoriť nové nasadenie, ale bude viditeľný iba nový obsah. Aby ste predišli strate prístupu k údajom, musíte:

                                                                                                                                                  • Spravujte zálohovanie a obnovu databázy a konfiguračného ISO.

                                                                                                                                                  • Buďte pripravení vykonať rýchlu obnovu po havárii, ak dôjde ku katastrofe, ako je zlyhanie databázového disku alebo katastrofa dátového centra.


                                                                                                                                                   

                                                                                                                                                  Neexistuje žiadny mechanizmus na presun kľúčov späť do cloudu po nasadení HDS.

                                                                                                                                                  Proces nastavenia na vysokej úrovni

                                                                                                                                                  Tento dokument pokrýva nastavenie a správu nasadenia Hybrid Data Security:

                                                                                                                                                  • Nastavte Hybridné zabezpečenie dát—To zahŕňa prípravu požadovanej infraštruktúry a inštaláciu softvéru Hybrid Data Security, testovanie vášho nasadenia s podskupinou používateľov v skúšobnom režime a po dokončení testovania prechod do produkcie. To prevedie celú organizáciu na používanie vášho klastra Hybrid Data Security na bezpečnostné funkcie.

                                                                                                                                                    Fázy nastavenia, skúšania a výroby sú podrobne opísané v nasledujúcich troch kapitolách.

                                                                                                                                                  • Udržujte svoje nasadenie Hybrid Data Security— Cloud Webex automaticky poskytuje priebežné aktualizácie. Vaše IT oddelenie môže poskytnúť podporu prvej úrovne pre toto nasadenie a podľa potreby zapojiť podporu Cisco. V Control Hub môžete používať upozornenia na obrazovke a nastaviť upozornenia prostredníctvom e-mailu.

                                                                                                                                                  • Pochopte bežné upozornenia, kroky na riešenie problémov a známe problémy—Ak narazíte na problémy s nasadením alebo používaním Hybrid Data Security, posledná kapitola tejto príručky a príloha Známe problémy vám môžu pomôcť určiť a vyriešiť problém.

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  V rámci podnikového dátového centra nasadíte Hybrid Data Security ako jeden klaster uzlov na samostatných virtuálnych hostiteľoch. Uzly komunikujú s cloudom Webex prostredníctvom zabezpečených webových zásuviek a zabezpečeného HTTP.

                                                                                                                                                  Počas procesu inštalácie vám poskytneme súbor OVA na nastavenie virtuálneho zariadenia na VM, ktoré poskytnete. Nástroj HDS Setup Tool použijete na vytvorenie vlastného konfiguračného súboru ISO klastra, ktorý pripojíte na každý uzol. Klaster Hybrid Data Security využíva váš poskytnutý server Syslogd a databázu PostgreSQL alebo Microsoft SQL Server. (Syslogd a podrobnosti o pripojení k databáze nakonfigurujete v nástroji HDS Setup Tool.)

                                                                                                                                                  Hybridný model nasadenia zabezpečenia dát

                                                                                                                                                  Minimálny počet uzlov, ktoré môžete mať v klastri, sú dva. Odporúčame aspoň tri a môžete ich mať až päť. Viacnásobné uzly zaisťujú, že služba nebude prerušená počas aktualizácie softvéru alebo inej činnosti údržby na uzle. (Cloud Webex aktualizuje naraz iba jeden uzol.)

                                                                                                                                                  Všetky uzly v klastri pristupujú k rovnakému úložisku údajov kľúčov a zaznamenávajú aktivitu na rovnaký server syslog. Samotné uzly sú bez stavu a spracovávajú kľúčové požiadavky v režime round-robin podľa pokynov cloudu.

                                                                                                                                                  Uzly sa stanú aktívnymi, keď ich zaregistrujete v Control Hub. Ak chcete vyradiť jednotlivý uzol z prevádzky, môžete ho zrušiť a neskôr v prípade potreby znova zaregistrovať.

                                                                                                                                                  Podporujeme iba jeden klaster na organizáciu.

                                                                                                                                                  Skúšobný režim hybridnej bezpečnosti dát

                                                                                                                                                  Po nastavení nasadenia Hybrid Data Security ho najskôr vyskúšate so skupinou pilotných používateľov. Počas skúšobného obdobia títo používatelia používajú vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Ostatní vaši používatelia naďalej používajú oblasť zabezpečenia cloudu.

                                                                                                                                                  Ak sa rozhodnete nepokračovať v nasadzovaní počas skúšobného obdobia a službu deaktivujete, pilotní používatelia a všetci používatelia, s ktorými počas skúšobného obdobia interagovali vytvorením nových priestorov, stratia prístup k správam a obsahu. V aplikácii Webex sa im zobrazí „Táto správa sa nedá dešifrovať“.

                                                                                                                                                  Ak ste spokojní s tým, že vaše nasadenie funguje dobre pre skúšobných používateľov a ste pripravení rozšíriť Hybrid Data Security na všetkých svojich používateľov, presuniete nasadenie do produkcie. Pilotní používatelia majú naďalej prístup ku kľúčom, ktoré sa používali počas skúšobnej verzie. Nemôžete sa však pohybovať tam a späť medzi produkčným režimom a pôvodnou skúšobnou verziou. Ak musíte službu deaktivovať, napríklad vykonať obnovu po havárii, pri opätovnej aktivácii musíte spustiť novú skúšobnú verziu a nastaviť skupinu pilotných používateľov pre novú skúšobnú verziu, než sa vrátite späť do produkčného režimu. Či si používatelia v tomto bode zachovajú prístup k údajom, závisí od toho, či ste úspešne udržiavali zálohy úložiska kľúčových údajov a konfiguračného súboru ISO pre uzly Hybrid Data Security vo vašom klastri.

                                                                                                                                                  Pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Počas nasadenia nastavíte zabezpečené pohotovostné dátové centrum. V prípade havárie dátového centra môžete manuálne zlyhať nasadenie do pohotovostného dátového centra.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Manuálne prepnutie do pohotovostného dátového centra

                                                                                                                                                  Databázy aktívnych a pohotovostných dátových centier sú navzájom synchronizované, čo minimalizuje čas potrebný na vykonanie núdzového prepnutia. Súbor ISO pohotovostného dátového centra sa aktualizuje o ďalšie konfigurácie, ktoré zaisťujú, že uzly sú registrované v organizácii, ale nebudú spracovávať prevádzku. Preto uzly pohotovostného dátového centra zostávajú vždy aktuálne s najnovšou verziou softvéru HDS.


                                                                                                                                                   

                                                                                                                                                  Aktívne uzly Hybrid Data Security musia byť vždy v rovnakom údajovom centre ako aktívny databázový server.

                                                                                                                                                  Nastavte pohotovostné dátové centrum pre obnovu po havárii

                                                                                                                                                  Ak chcete nakonfigurovať súbor ISO pohotovostného dátového centra, postupujte podľa nasledujúcich krokov:

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Pohotovostné dátové centrum by malo odrážať produkčné prostredie VM a záložnú databázu PostgreSQL alebo Microsoft SQL Server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM. (Pozri Pohotovostné dátové centrum pre obnovu po havárii pre prehľad tohto modelu núdzového prepnutia.)

                                                                                                                                                  • Uistite sa, že je povolená synchronizácia databázy medzi databázou aktívnych a pasívnych uzlov klastra.

                                                                                                                                                  1

                                                                                                                                                  Spustite nástroj HDS Setup a postupujte podľa krokov uvedených v Vytvorte ISO konfigurácie pre hostiteľov HDS.


                                                                                                                                                   

                                                                                                                                                  Súbor ISO musí byť kópiou pôvodného súboru ISO primárneho dátového centra, v ktorom sa majú vykonať nasledujúce aktualizácie konfigurácie.

                                                                                                                                                  2

                                                                                                                                                  Po nakonfigurovaní servera Syslogd kliknite na Pokročilé nastavenia

                                                                                                                                                  3

                                                                                                                                                  Na Pokročilé nastavenia pridajte konfiguráciu nižšie, aby ste umiestnili uzol do pasívneho režimu. V tomto režime bude uzol zaregistrovaný v organizácii a pripojený ku cloudu, ale nebude spracovávať žiadny prenos.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Dokončite proces konfigurácie a uložte súbor ISO na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  5

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme. Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  6

                                                                                                                                                  V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia..

                                                                                                                                                  7

                                                                                                                                                  Kliknite Upraviť nastavenia >CD/DVD mechanika 1 a vyberte Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Uisti sa Pripojené a Pripojte pri zapnutí sú skontrolované, aby sa aktualizované zmeny konfigurácie prejavili po spustení uzlov.

                                                                                                                                                  8

                                                                                                                                                  Zapnite uzol HDS a uistite sa, že aspoň 15 minút nie sú žiadne alarmy.

                                                                                                                                                  9

                                                                                                                                                  Opakujte proces pre každý uzol v pohotovostnom dátovom centre.


                                                                                                                                                   

                                                                                                                                                  Skontrolujte syslogy a overte, či sú uzly v pasívnom režime. V syslogoch by ste mali vidieť správu „KMS nakonfigurovaná v pasívnom režime“.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Po konfigurácii passiveMode v súbore ISO a jeho uložením môžete vytvoriť ďalšiu kópiu súboru ISO bez súboru passiveMode konfiguráciu a uložte ju na bezpečnom mieste. Táto kópia súboru ISO bez passiveMode nakonfigurovaný môže pomôcť pri rýchlom procese núdzového prepnutia počas obnovy po havárii. Pozri Obnova po havárii pomocou pohotovostného dátového centra pre podrobný postup núdzového prepnutia.

                                                                                                                                                  Podpora proxy

                                                                                                                                                  Hybrid Data Security podporuje explicitné, transparentné kontrolné a nekontrolujúce proxy. Tieto servery proxy môžete prepojiť s nasadením, aby ste mohli zabezpečiť a monitorovať prevádzku z podniku do cloudu. Rozhranie správcu platformy na uzloch môžete použiť na správu certifikátov a na kontrolu celkového stavu pripojenia po nastavení servera proxy na uzloch.

                                                                                                                                                  Uzly Hybrid Data Security podporujú nasledujúce možnosti proxy:

                                                                                                                                                  • Žiadny proxy—Predvolené, ak na integráciu servera proxy nepoužívate nastavenie uzla HDS Trust Store & Proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentný nekontrolujúci splnomocnenec– Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.

                                                                                                                                                  • Transparentné tunelovanie alebo kontrola proxy– Uzly nie sú nakonfigurované na používanie špecifickej adresy servera proxy. Na uzloch nie sú potrebné žiadne zmeny konfigurácie HTTP alebo HTTPS. Uzly však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).

                                                                                                                                                  • Explicitný proxy—S explicitným proxy, poviete HDS uzlom, ktorý proxy server a overovaciu schému použiť. Ak chcete nakonfigurovať explicitný server proxy, musíte do každého uzla zadať nasledujúce informácie:

                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol—V závislosti od toho, čo váš proxy server podporuje, vyberte si z nasledujúcich protokolov:

                                                                                                                                                      • HTTP – zobrazuje a riadi všetky požiadavky, ktoré klient odosiela.

                                                                                                                                                      • HTTPS – poskytuje kanál pre server. Klient prijme a overí certifikát servera.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné, ak ako protokol proxy vyberiete HTTP alebo HTTPS.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné, iba ak vyberiete HTTPS ako protokol proxy.

                                                                                                                                                        Vyžaduje, aby ste na každom uzle zadali meno používateľa a heslo.

                                                                                                                                                  Príklad uzlov na zabezpečenie hybridných dát a proxy

                                                                                                                                                  Tento diagram ukazuje príklad spojenia medzi Hybrid Data Security, sieťou a proxy. Pre možnosti transparentnej kontroly a explicitnej kontroly HTTPS proxy musí byť na serveri proxy aj na uzloch Hybrid Data Security nainštalovaný rovnaký koreňový certifikát.

                                                                                                                                                  Blokovaný režim externého rozlíšenia DNS (explicitné konfigurácie proxy)

                                                                                                                                                  Keď zaregistrujete uzol alebo skontrolujete konfiguráciu proxy uzla, proces otestuje vyhľadávanie DNS a pripojenie ku cloudu Cisco Webex. V nasadeniach s explicitnými konfiguráciami proxy, ktoré neumožňujú externé rozlíšenie DNS pre interných klientov, ak uzol nemôže dotazovať servery DNS, automaticky prejde do režimu blokovaného externého riešenia DNS. V tomto režime môže pokračovať registrácia uzla a ďalšie testy pripojenia proxy.

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  Požiadavky na hybridnú bezpečnosť dát

                                                                                                                                                  Požiadavky na licenciu Cisco Webex

                                                                                                                                                  Nasadenie Hybrid Data Security:

                                                                                                                                                  Požiadavky na plochu Docker

                                                                                                                                                  Pred inštaláciou uzlov HDS potrebujete Docker Desktop na spustenie inštalačného programu. Docker nedávno aktualizoval svoj licenčný model. Vaša organizácia môže vyžadovať platené predplatné pre Docker Desktop. Podrobnosti nájdete v blogovom príspevku Docker, " Docker aktualizuje a rozširuje naše predplatné produktov".

                                                                                                                                                  Požiadavky na certifikát X.509

                                                                                                                                                  Certifikačný reťazec musí spĺňať nasledujúce požiadavky:

                                                                                                                                                  Tabuľka č. 1 Požiadavky certifikátu X.509 pre nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Požiadavka

                                                                                                                                                  Podrobnosti

                                                                                                                                                  • Podpísané dôveryhodnou certifikačnou autoritou (CA)

                                                                                                                                                  V predvolenom nastavení dôverujeme CA v zozname Mozilly (s výnimkou WoSign a StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Nesie názov domény Common Name (CN), ktorý identifikuje vaše nasadenie Hybrid Data Security

                                                                                                                                                  • Nie je to zástupný certifikát

                                                                                                                                                  CN nemusí byť dosiahnuteľné alebo živého hostiteľa. Odporúčame vám použiť názov, ktorý odráža vašu organizáciu, napr. hds.company.com.

                                                                                                                                                  KN nesmie obsahovať * (zástupný znak).

                                                                                                                                                  CN sa používa na overenie uzlov Hybrid Data Security pre klientov Webex App. Všetky uzly Hybrid Data Security vo vašom klastri používajú rovnaký certifikát. Váš KMS sa identifikuje pomocou domény CN, nie akejkoľvek domény, ktorá je definovaná v poliach x.509v3 SAN.

                                                                                                                                                  Po zaregistrovaní uzla s týmto certifikátom nepodporujeme zmenu názvu domény CN. Vyberte doménu, ktorá sa môže vzťahovať na skúšobné aj produkčné nasadenie.

                                                                                                                                                  • Podpis iný ako SHA1

                                                                                                                                                  Softvér KMS nepodporuje podpisy SHA1 na overenie pripojení k KMS iných organizácií.

                                                                                                                                                  • Naformátovaný ako súbor PKCS #12 chránený heslom

                                                                                                                                                  • Použite priateľský názov kms-private-key na označenie certifikátu, súkromného kľúča a akýchkoľvek sprostredkujúcich certifikátov na odovzdanie.

                                                                                                                                                  Na zmenu formátu certifikátu môžete použiť konvertor, ako je OpenSSL.

                                                                                                                                                  Pri spustení nástroja HDS Setup Tool budete musieť zadať heslo.

                                                                                                                                                  Softvér KMS nevynucuje používanie kľúčov ani rozšírené obmedzenia používania kľúčov. Niektoré certifikačné autority vyžadujú, aby sa na každý certifikát aplikovali rozšírené obmedzenia používania kľúčov, ako je autentifikácia servera. Je v poriadku použiť overenie servera alebo iné nastavenia.

                                                                                                                                                  Požiadavky na virtuálny hostiteľ

                                                                                                                                                  Virtuálni hostitelia, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri, majú nasledujúce požiadavky:

                                                                                                                                                  • Aspoň dvaja oddelení hostitelia (odporúčajú sa 3) umiestnení v rovnakom zabezpečenom dátovom centre

                                                                                                                                                  • VMware ESXi 6.5 (alebo novší) nainštalovaný a spustený.


                                                                                                                                                     

                                                                                                                                                    Ak máte staršiu verziu ESXi, musíte vykonať inováciu.

                                                                                                                                                  • Minimálne 4 vCPU, 8 GB hlavnej pamäte, 30 GB miesta na lokálnom pevnom disku na server

                                                                                                                                                  Požiadavky na databázový server


                                                                                                                                                   

                                                                                                                                                  Vytvorte novú databázu pre uloženie kľúčov. Nepoužívajte predvolenú databázu. Aplikácie HDS, keď sú nainštalované, vytvoria schému databázy.

                                                                                                                                                  Pre databázový server sú dve možnosti. Požiadavky na každú z nich sú nasledovné:

                                                                                                                                                  Tabuľka 2 Požiadavky na databázový server podľa typu databázy

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  • PostgreSQL 14, 15 alebo 16, nainštalovaný a spustený.

                                                                                                                                                  • SQL Server 2016, 2017 alebo 2019 (Enterprise alebo Standard) nainštalovaný.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 vyžaduje Service Pack 2 a Kumulatívna aktualizácia 2 alebo novšia.

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Minimálne 8 vCPU, 16 GB hlavnej pamäte, dostatok miesta na pevnom disku a monitorovanie, aby sa neprekročilo (odporúča sa 2 TB, ak chcete databázu prevádzkovať dlhú dobu bez toho, aby ste museli zväčšiť úložný priestor)

                                                                                                                                                  Softvér HDS momentálne inštaluje nasledujúce verzie ovládačov na komunikáciu s databázovým serverom:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Microsoft SQL Server

                                                                                                                                                  Postgres JDBC ovládač 42.2.5

                                                                                                                                                  Ovládač SQL Server JDBC 4.6

                                                                                                                                                  Táto verzia ovládača podporuje SQL Server Always On ( Vždy v prípade zlyhania klastra a Vždy zapnuté skupiny dostupnosti).

                                                                                                                                                  Dodatočné požiadavky na overenie systému Windows voči Microsoft SQL Server

                                                                                                                                                  Ak chcete, aby uzly HDS používali autentifikáciu systému Windows na získanie prístupu k vašej databáze úložiska kľúčov na serveri Microsoft SQL Server, potrebujete vo svojom prostredí nasledujúcu konfiguráciu:

                                                                                                                                                  • HDS uzly, infraštruktúra Active Directory a MS SQL Server musia byť synchronizované s NTP.

                                                                                                                                                  • Účet Windows, ktorý poskytnete uzlom HDS, musí mať prístup k databáze na čítanie/zápis.

                                                                                                                                                  • Servery DNS, ktoré poskytujete uzlom HDS, musia byť schopné vyriešiť vaše Centrum distribúcie kľúčov (KDC).

                                                                                                                                                  • Inštanciu databázy HDS môžete zaregistrovať na svojom serveri Microsoft SQL Server ako hlavný názov služby (SPN) vo vašom adresári Active Directory. Pozri Zaregistrujte hlavný názov služby pre pripojenia Kerberos.

                                                                                                                                                    Nástroj na nastavenie HDS, spúšťač HDS a miestne KMS musia na prístup k databáze kľúčov používať overenie systému Windows. Používajú podrobnosti z vašej konfigurácie ISO na vytvorenie SPN pri požadovaní prístupu s overením Kerberos.

                                                                                                                                                  Požiadavky na externé pripojenie

                                                                                                                                                  Nakonfigurujte svoj firewall tak, aby umožňoval nasledujúce pripojenie pre aplikácie HDS:

                                                                                                                                                  Aplikácia

                                                                                                                                                  Protokol

                                                                                                                                                  Port

                                                                                                                                                  Smer z App

                                                                                                                                                  Destinácia

                                                                                                                                                  Hybridné uzly zabezpečenia údajov

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS a WSS

                                                                                                                                                  • Webex servery:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • Ďalšie adresy URL, ktoré sú uvedené pre Hybrid Data Security v Ďalšie adresy URL pre hybridné služby Webex tabuľka Sieťové požiadavky pre služby Webex

                                                                                                                                                  Nástroj na nastavenie HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  Odchádzajúce HTTPS

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Všetci hostitelia Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  Uzly Hybrid Data Security pracujú s prekladom sieťového prístupu (NAT) alebo za bránou firewall, pokiaľ NAT alebo brána firewall umožňuje požadované odchádzajúce pripojenia k destináciám domény v predchádzajúcej tabuľke. Pre pripojenia prichádzajúce do uzlov Hybrid Data Security by nemali byť z internetu viditeľné žiadne porty. V rámci vášho dátového centra potrebujú klienti prístup k uzlom Hybrid Data Security na portoch TCP 443 a 22 na administratívne účely.

                                                                                                                                                  Adresy URL hostiteľov Common Identity (CI) sú špecifické pre daný región. Toto sú súčasní hostitelia CI:

                                                                                                                                                  región

                                                                                                                                                  Spoločné adresy URL hostiteľa identity

                                                                                                                                                  Ameriky

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Európska únia

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Kanada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Požiadavky na proxy server

                                                                                                                                                  • Oficiálne podporujeme nasledujúce proxy riešenia, ktoré sa dajú integrovať s vašimi uzlami Hybrid Data Security.

                                                                                                                                                    • Transparentný proxy – Cisco Web Security Appliance (WSA).

                                                                                                                                                    • Explicitný proxy-Squid.


                                                                                                                                                       

                                                                                                                                                      Proxy serverov chobotnice, ktoré kontrolujú prenos HTTPS, môžu zasahovať do vytvorenia webovej zásuvky (wss:) spojenia. Ak chcete tento problém obísť, pozrite si Nakonfigurujte Squid Proxy pre hybridné zabezpečenie dát.

                                                                                                                                                  • Pre explicitné servery proxy podporujeme nasledujúce kombinácie typov overenia:

                                                                                                                                                    • Žiadna autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Základná autentifikácia pomocou HTTP alebo HTTPS

                                                                                                                                                    • Digest overenie iba s HTTPS

                                                                                                                                                  • Pre transparentný kontrolný proxy server alebo explicitný proxy server HTTPS musíte mať kópiu koreňového certifikátu servera proxy. Pokyny na nasadenie v tejto príručke vám povedia, ako nahrať kópiu do dôveryhodných obchodov uzlov Hybrid Data Security.

                                                                                                                                                  • Sieť, ktorá hostí uzly HDS, musí byť nakonfigurovaná tak, aby vynútila smerovanie odchádzajúcej prevádzky TCP na porte 443 cez server proxy.

                                                                                                                                                  • Proxy, ktoré kontrolujú webovú prevádzku, môžu narúšať pripojenia webových soketov. Ak sa vyskytne tento problém, obíďte (nie kontrolujte) premávku na wbx2.com a ciscospark.com problém vyrieši.

                                                                                                                                                  Vyplňte Predpoklady pre hybridnú bezpečnosť údajov

                                                                                                                                                  Pomocou tohto kontrolného zoznamu sa uistite, že ste pripravení na inštaláciu a konfiguráciu klastra Hybrid Data Security.
                                                                                                                                                  1

                                                                                                                                                  Uistite sa, že vaša organizácia Webex má povolený balík Pro Pack pre Cisco Webex Control Hub a získajte prihlasovacie údaje účtu s úplnými právami správcu organizácie. Ak potrebujete pomoc s týmto procesom, kontaktujte svojho partnera Cisco alebo account manažéra.

                                                                                                                                                  2

                                                                                                                                                  Vyberte názov domény pre svoje nasadenie HDS (napr. hds.company.com) a získajte reťaz certifikátov obsahujúci certifikát X.509, súkromný kľúč a akékoľvek sprostredkujúce certifikáty. Certifikačný reťazec musí spĺňať požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  3

                                                                                                                                                  Pripravte si identických virtuálnych hostiteľov, ktorých nastavíte ako uzly Hybrid Data Security vo vašom klastri. Potrebujete aspoň dvoch samostatných hostiteľov (odporúčajú sa 3) umiestnených v rovnakom zabezpečenom dátovom centre, ktorí spĺňajú požiadavky v Požiadavky na virtuálny hostiteľ.

                                                                                                                                                  4

                                                                                                                                                  Pripravte databázový server, ktorý bude fungovať ako úložisko kľúčových údajov pre klaster, podľa Požiadavky na databázový server. Databázový server musí byť umiestnený v zabezpečenom údajovom centre spolu s virtuálnymi hostiteľmi.

                                                                                                                                                  1. Vytvorte databázu pre ukladanie kľúčov. (Túto databázu musíte vytvoriť – nepoužívajte predvolenú databázu. Aplikácie HDS po nainštalovaní vytvoria schému databázy.)

                                                                                                                                                  2. Zhromaždite podrobnosti, ktoré budú uzly používať na komunikáciu s databázovým serverom:

                                                                                                                                                    • názov hostiteľa alebo IP adresa (hostiteľ) a port

                                                                                                                                                    • názov databázy (dbname) pre uloženie kľúčov

                                                                                                                                                    • užívateľské meno a heslo užívateľa so všetkými privilégiami v databáze kľúča

                                                                                                                                                  5

                                                                                                                                                  Pre rýchlu obnovu po havárii nastavte zálohovacie prostredie v inom dátovom centre. Zálohovacie prostredie odzrkadľuje produkčné prostredie VM a záložný databázový server. Napríklad, ak má produkcia 3 VM s uzlami HDS, zálohovacie prostredie by malo mať 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Nastavte hostiteľa syslog na zhromažďovanie protokolov z uzlov v klastri. Získajte jeho sieťovú adresu a port syslog (predvolené je UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Vytvorte politiku bezpečného zálohovania pre uzly Hybrid Data Security, databázový server a hostiteľa syslog. Aby ste predišli nenapraviteľnej strate údajov, musíte minimálne zálohovať databázu a konfiguračný súbor ISO vygenerovaný pre uzly Hybrid Data Security.


                                                                                                                                                   

                                                                                                                                                  Pretože uzly Hybrid Data Security ukladajú kľúče používané na šifrovanie a dešifrovanie obsahu, zlyhanie pri udržiavaní operačného nasadenia bude mať za následok NENÁHRADITEĽNÁ STRATA tohto obsahu.

                                                                                                                                                  Klienti Webex App ukladajú svoje kľúče do vyrovnávacej pamäte, takže výpadok nemusí byť okamžite viditeľný, ale časom sa prejaví. Zatiaľ čo dočasným výpadkom nie je možné zabrániť, sú obnoviteľné. Úplná strata (nie sú k dispozícii žiadne zálohy) databázy alebo konfiguračného ISO súboru však bude mať za následok neobnoviteľné zákaznícke údaje. Od operátorov uzlov Hybrid Data Security sa očakáva, že budú pravidelne zálohovať databázu a konfiguračný ISO súbor a budú pripravení na prestavbu dátového centra Hybrid Data Security, ak dôjde ku katastrofálnej poruche.

                                                                                                                                                  8

                                                                                                                                                  Uistite sa, že vaša konfigurácia brány firewall umožňuje pripojenie pre vaše uzly Hybrid Data Security, ako je uvedené v Požiadavky na externé pripojenie.

                                                                                                                                                  9

                                                                                                                                                  Nainštalujte Docker ( https://www.docker.com) na akomkoľvek lokálnom počítači s podporovaným operačným systémom (Microsoft Windows 10 Professional alebo Enterprise 64-bit, alebo Mac OSX Yosemite 10.10.3 alebo novší) s webovým prehliadačom, ktorý k nemu môže pristupovať na http://127.0.0.1:8080.

                                                                                                                                                  Inštanciu Docker použijete na stiahnutie a spustenie nástroja HDS Setup Tool, ktorý vytvorí informácie o lokálnej konfigurácii pre všetky uzly Hybrid Data Security. Vaša organizácia môže potrebovať licenciu Docker Desktop. Pozri Požiadavky na plochu Docker Pre viac informácií.

                                                                                                                                                  Ak chcete nainštalovať a spustiť nástroj HDS Setup Tool, lokálny počítač musí mať konektivitu uvedenú v Požiadavky na externé pripojenie.

                                                                                                                                                  10

                                                                                                                                                  Ak integrujete proxy s Hybrid Data Security, uistite sa, že spĺňa Požiadavky na proxy server.

                                                                                                                                                  11

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, vytvorte skupinu v Active Directory s názvom HdsTrialGroup a pridajte pilotných používateľov. Skúšobná skupina môže mať až 250 používateľov. The HdsTrialGroup Pred spustením skúšobnej verzie pre vašu organizáciu musí byť objekt synchronizovaný s cloudom. Ak chcete synchronizovať objekt skupiny, vyberte ho v priečinku Directory Connector Konfigurácia > Výber objektu Ponuka. (Podrobné pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Pri výbere pilotných používateľov majte na pamäti, že ak sa rozhodnete natrvalo deaktivovať nasadenie Hybrid Data Security, všetci používatelia stratia prístup k obsahu v priestoroch, ktoré vytvorili pilotní používatelia. Strata sa prejaví hneď, ako aplikácie používateľov obnovia svoje kópie obsahu uložené vo vyrovnávacej pamäti.

                                                                                                                                                  Nastavte Hybrid Data Security Cluster

                                                                                                                                                  Tok úloh nasadenia zabezpečenia hybridných údajov

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pripravte si prostredie

                                                                                                                                                  1

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  Stiahnite si súbor OVA na váš lokálny počítač pre neskoršie použitie.

                                                                                                                                                  2

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Pomocou nástroja HDS Setup Tool vytvorte konfiguračný súbor ISO pre uzly Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Vytvorte virtuálny počítač zo súboru OVA a vykonajte počiatočnú konfiguráciu, ako sú nastavenia siete.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  4

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Prihláste sa do konzoly VM a nastavte prihlasovacie poverenia. Nakonfigurujte sieťové nastavenia pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  5

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Nakonfigurujte VM z konfiguračného súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  6

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje konfiguráciu servera proxy, zadajte typ servera proxy, ktorý použijete pre uzol, a v prípade potreby pridajte certifikát servera proxy do dôveryhodného úložiska.

                                                                                                                                                  7

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Zaregistrujte VM v cloude Cisco Webex ako uzol Hybrid Data Security.

                                                                                                                                                  8

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Dokončite nastavenie klastra.

                                                                                                                                                  9

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)

                                                                                                                                                  Kým nezačnete skúšobnú verziu, vaše uzly generujú alarm oznamujúci, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Stiahnite si inštalačné súbory

                                                                                                                                                  V tejto úlohe stiahnete súbor OVA do svojho počítača (nie na servery, ktoré ste nastavili ako uzly Hybrid Data Security). Tento súbor použijete neskôr v procese inštalácie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom kliknite Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybridné služby nájdite kartu Hybrid Data Security a potom kliknite Nastaviť.

                                                                                                                                                  Ak je karta zakázaná alebo ju nevidíte, kontaktujte tím spravujúci váš účet alebo partnerskú organizáciu. Poskytnite im svoje číslo účtu a požiadajte, aby vašej organizácii umožnili Hybridné zabezpečenie dát. Ak chcete nájsť číslo účtu, kliknite na ozubené koliesko vpravo hore vedľa názvu organizácie.


                                                                                                                                                   

                                                                                                                                                  OVA si tiež môžete kedykoľvek stiahnuť z Pomoc oddiel na nastavenie stránku. Na karte Hybrid Data Security kliknite na Upraviť nastavenia otvorte stránku. Potom kliknite Stiahnite si softvér Hybrid Data Security v Pomoc oddiele.


                                                                                                                                                   

                                                                                                                                                  Staršie verzie softvérového balíka (OVA) nebudú kompatibilné s najnovšími aktualizáciami Hybrid Data Security. To môže viesť k problémom pri inovácii aplikácie. Uistite sa, že ste si stiahli najnovšiu verziu súboru OVA.

                                                                                                                                                  3

                                                                                                                                                  Vyberte Nie na označenie, že ste ešte nenastavili uzol, a potom kliknite Ďalšie.

                                                                                                                                                  Automaticky sa začne sťahovať súbor OVA. Uložte súbor na miesto v počítači.
                                                                                                                                                  4

                                                                                                                                                  Voliteľne kliknite Otvorte Sprievodcu nasadením a skontrolujte, či je k dispozícii novšia verzia tejto príručky.

                                                                                                                                                  Vytvorte ISO konfigurácie pre hostiteľov HDS

                                                                                                                                                  Proces nastavenia Hybrid Data Security vytvorí súbor ISO. Potom použijete ISO na konfiguráciu hostiteľa Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak nástroj HDS Setup beží za serverom proxy vo vašom prostredí, pri spúšťaní kontajnera Docker v kroku poskytnite nastavenia servera proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 5. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy s autentifikáciou

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Konfiguračný súbor ISO, ktorý vygenerujete, obsahuje hlavný kľúč na šifrovanie databázy PostgreSQL alebo Microsoft SQL Server. Najnovšiu kópiu tohto súboru potrebujete vždy, keď vykonáte zmeny v konfigurácii, ako napríklad:

                                                                                                                                                    • Databázové poverenia

                                                                                                                                                    • Aktualizácie certifikátov

                                                                                                                                                    • Zmeny v politike autorizácie

                                                                                                                                                  • Ak plánujete šifrovať pripojenia k databáze, nastavte svoje nasadenie PostgreSQL alebo SQL Server pre TLS.

                                                                                                                                                  1

                                                                                                                                                  Do príkazového riadka vášho počítača zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Tento krok vyčistí predchádzajúce obrázky nástroja na nastavenie HDS. Ak neexistujú žiadne predchádzajúce obrázky, vráti chybu, ktorú môžete ignorovať.

                                                                                                                                                  2

                                                                                                                                                  Ak sa chcete prihlásiť do registra obrázkov Docker, zadajte nasledujúce:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Pri výzve na zadanie hesla zadajte tento hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Stiahnite si najnovší stabilný obraz pre vaše prostredie:

                                                                                                                                                  V bežných prostrediach:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  V prostrediach FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Po dokončení sťahovania zadajte príslušný príkaz pre vaše prostredie:

                                                                                                                                                  • V bežných prostrediach bez servera proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V bežných prostrediach s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • V prostrediach FedRAMP bez proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTP proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • V prostrediach FedRAMP s HTTPS proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Keď je kontajner spustený, uvidíte „Expresný server počúva na porte 8080“.

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Inštalačný nástroj nepodporuje pripojenie k localhost prostredníctvom http://localhost:8080. Použite http://127.0.0.1:8080 na pripojenie k localhost.

                                                                                                                                                  Pomocou webového prehliadača prejdite na localhost, http://127.0.0.1:8080 a po výzve zadajte používateľské meno správcu zákazníka pre Control Hub.

                                                                                                                                                  Nástroj používa toto prvé zadanie používateľského mena na nastavenie správneho prostredia pre daný účet. Nástroj potom zobrazí štandardnú výzvu na prihlásenie.

                                                                                                                                                  7

                                                                                                                                                  Po zobrazení výzvy zadajte svoje prihlasovacie poverenia správcu zákazníka Control Hub a potom kliknite Prihlásiť sa na umožnenie prístupu k požadovaným službám pre Hybridnú bezpečnosť dát.

                                                                                                                                                  8

                                                                                                                                                  Na stránke prehľadu nástroja Setup kliknite na Začať.

                                                                                                                                                  9

                                                                                                                                                  Na ISO import stránku, máte tieto možnosti:

                                                                                                                                                  • Nie—Ak vytvárate svoj prvý uzol HDS, nemáte súbor ISO na nahranie.
                                                                                                                                                  • Áno—Ak ste už vytvorili uzly HDS, vyberte súbor ISO v prehľadávaní a nahrajte ho.
                                                                                                                                                  10

                                                                                                                                                  Skontrolujte, či váš certifikát X.509 spĺňa požiadavky v Požiadavky na certifikát X.509.

                                                                                                                                                  • Ak ste nikdy predtým nenahrali certifikát, nahrajte certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  • Ak je váš certifikát v poriadku, kliknite ďalej.
                                                                                                                                                  • Ak platnosť vášho certifikátu vypršala alebo ho chcete nahradiť, vyberte Nie pre Pokračovať v používaní reťazca certifikátov HDS a súkromného kľúča z predchádzajúceho ISO?. Nahrajte nový certifikát X.509, zadajte heslo a kliknite ďalej.
                                                                                                                                                  11

                                                                                                                                                  Zadajte databázovú adresu a účet pre HDS, aby ste získali prístup k vášmu úložisku kľúčových údajov:

                                                                                                                                                  1. Vyberte si svoj Typ databázy (PostgreSQL alebo Microsoft SQL Server).

                                                                                                                                                    Ak si vyberiete Microsoft SQL Server, získate pole Typ overenia.

                                                                                                                                                  2. (Microsoft SQL Server iba) Vyberte si autentický typ:

                                                                                                                                                    • Základná autentifikácia: Potrebujete názov lokálneho účtu SQL Server v súbore Používateľské meno lúka.

                                                                                                                                                    • Overenie systému Windows: Potrebujete účet Windows vo formáte username@DOMAIN v Používateľské meno lúka.

                                                                                                                                                  3. Do formulára zadajte adresu databázového servera <hostname>:<port> alebo <IP-address>:<port>.

                                                                                                                                                    Príklad:
                                                                                                                                                    dbhost.example.org:1433 alebo 198.51.100.17:1433

                                                                                                                                                    Môžete použiť IP adresu na základnú autentifikáciu, ak uzly nemôžu použiť DNS na rozlíšenie názvu hostiteľa.

                                                                                                                                                    Ak používate overovanie systému Windows, musíte zadať úplný názov domény vo formáte dbhost.example.org:1433

                                                                                                                                                  4. Zadajte Názov databázy.

                                                                                                                                                  5. Zadajte Používateľské meno a heslo používateľa so všetkými oprávneniami na databázu úložiska kľúčov.

                                                                                                                                                  12

                                                                                                                                                  Vyberte a Režim pripojenia databázy TLS:

                                                                                                                                                  Režim

                                                                                                                                                  Opis

                                                                                                                                                  Preferujem TLS (predvolená možnosť)

                                                                                                                                                  HDS uzly nevyžadujú TLS na pripojenie k databázovému serveru. Ak povolíte TLS na databázovom serveri, uzly sa pokúsia o šifrované pripojenie.

                                                                                                                                                  Vyžadovať TLS

                                                                                                                                                  Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu


                                                                                                                                                   

                                                                                                                                                  Tento režim nie je použiteľný pre databázy SQL Server.

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Vyžadovať TLS a overiť podpisovateľa certifikátu a názov hostiteľa

                                                                                                                                                  • Uzly HDS sa pripájajú iba vtedy, ak databázový server dokáže dohodnúť TLS.

                                                                                                                                                  • Po nadviazaní pripojenia TLS uzol porovnáva podpisovateľa certifikátu z databázového servera s certifikačnou autoritou v Koreňový certifikát databázy. Ak sa nezhodujú, uzol zruší spojenie.

                                                                                                                                                  • Uzly tiež overujú, či sa názov hostiteľa v certifikáte servera zhoduje s názvom hostiteľa v Hostiteľ databázy a port lúka. Názvy sa musia presne zhodovať, inak uzol zruší spojenie.

                                                                                                                                                  Použi Koreňový certifikát databázy ovládač pod rozbaľovacím zoznamom na nahranie koreňového certifikátu pre túto možnosť.

                                                                                                                                                  Keď nahráte koreňový certifikát (ak je to potrebné) a kliknite na ďalej, HDS Setup Tool otestuje TLS pripojenie k databázovému serveru. Nástroj tiež overuje podpisovateľa certifikátu a názov hostiteľa, ak je to potrebné. Ak test zlyhá, nástroj zobrazí chybové hlásenie popisujúce problém. Môžete si vybrať, či chcete chybu ignorovať a pokračovať v nastavovaní. (Vzhľadom na rozdiely v konektivite môžu byť uzly HDS schopné nadviazať pripojenie TLS, aj keď ho zariadenie HDS Setup Tool nedokáže úspešne otestovať.)

                                                                                                                                                  13

                                                                                                                                                  Na stránke Systémové denníky nakonfigurujte svoj server Syslogd:

                                                                                                                                                  1. Zadajte adresu URL servera syslog.

                                                                                                                                                    Ak server nie je schopný rozlíšiť DNS z uzlov pre váš klaster HDS, použite v adrese URL adresu IP.

                                                                                                                                                    Príklad:
                                                                                                                                                    udp://10.92.43.23:514 označuje prihlásenie do hostiteľa Syslogd 10.92.43.23 na porte UDP 514.
                                                                                                                                                  2. Ak ste nastavili svoj server na používanie šifrovania TLS, skontrolujte Je váš server syslog nakonfigurovaný na šifrovanie SSL?.

                                                                                                                                                    Ak začiarknete toto políčko, uistite sa, že ste zadali TCP URL, ako napr tcp://10.92.43.23:514.

                                                                                                                                                  3. Z Vyberte ukončenie záznamu syslog v rozbaľovacej ponuke vyberte vhodné nastavenie pre váš súbor ISO: Choose alebo Newline sa používa pre Graylog a Rsyslog TCP

                                                                                                                                                    • Null byte -- \x00

                                                                                                                                                    • Nový riadok -- \n—Vyberte túto voľbu pre Graylog a Rsyslog TCP.

                                                                                                                                                  4. Kliknite ďalej.

                                                                                                                                                  14

                                                                                                                                                  (Voliteľné) Môžete zmeniť predvolenú hodnotu pre niektoré parametre pripojenia k databáze v Pokročilé nastavenia. Vo všeobecnosti je tento parameter jediný, ktorý možno budete chcieť zmeniť:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Kliknite ďalej na Obnovte heslo servisných účtov obrazovke.

                                                                                                                                                  Heslá k servisným účtom majú životnosť deväť mesiacov. Túto obrazovku použite, keď sa blíži koniec platnosti vašich hesiel alebo ich chcete resetovať, aby ste zrušili platnosť predchádzajúcich súborov ISO.

                                                                                                                                                  16

                                                                                                                                                  Kliknite Stiahnite si súbor ISO. Uložte súbor na miesto, ktoré sa dá ľahko nájsť.

                                                                                                                                                  17

                                                                                                                                                  Vytvorte záložnú kópiu súboru ISO vo vašom lokálnom systéme.

                                                                                                                                                  Uchovajte záložnú kópiu v bezpečí. Tento súbor obsahuje hlavný šifrovací kľúč pre obsah databázy. Obmedzte prístup iba na tých správcov Hybrid Data Security, ktorí by mali vykonávať zmeny v konfigurácii.

                                                                                                                                                  18

                                                                                                                                                  Ak chcete vypnúť nástroj Setup, zadajte CTRL+C.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Zálohujte konfiguračný súbor ISO. Potrebujete ho na vytvorenie ďalších uzlov na obnovu alebo na vykonanie zmien v konfigurácii. Ak stratíte všetky kópie súboru ISO, stratili ste aj hlavný kľúč. Obnovenie kľúčov z databázy PostgreSQL alebo Microsoft SQL Server nie je možné.


                                                                                                                                                   

                                                                                                                                                  Nikdy nemáme kópiu tohto kľúča a nemôžeme vám pomôcť, ak ho stratíte.

                                                                                                                                                  Nainštalujte HDS Host OVA

                                                                                                                                                  Tento postup použite na vytvorenie virtuálneho počítača zo súboru OVA.
                                                                                                                                                  1

                                                                                                                                                  Na prihlásenie do virtuálneho hostiteľa ESXi použite klienta VMware vSphere na vašom počítači.

                                                                                                                                                  2

                                                                                                                                                  Vyberte Súbor > Nasadiť šablónu OVF.

                                                                                                                                                  3

                                                                                                                                                  V sprievodcovi zadajte umiestnenie súboru OVA, ktorý ste si stiahli skôr, a potom kliknite Ďalšie .

                                                                                                                                                  4

                                                                                                                                                  Na Vyberte názov a priečinok stránku, zadajte a Názov virtuálneho počítača pre uzol (napríklad „HDS_Node_1"), vyberte umiestnenie, kde sa môže nachádzať nasadenie uzla virtuálneho počítača, a potom kliknite Ďalšie .

                                                                                                                                                  5

                                                                                                                                                  Na Vyberte výpočtový zdroj vyberte cieľový výpočtový zdroj a potom kliknite Ďalšie .

                                                                                                                                                  Prebehne overovacia kontrola. Po dokončení sa zobrazia podrobnosti šablóny.

                                                                                                                                                  6

                                                                                                                                                  Overte podrobnosti šablóny a potom kliknite Ďalšie.

                                                                                                                                                  7

                                                                                                                                                  Ak sa zobrazí výzva na výber konfigurácie prostriedkov na Konfigurácia stránku, kliknite 4 CPU a potom kliknite Ďalšie .

                                                                                                                                                  8

                                                                                                                                                  Na Vyberte úložisko stránku, kliknite Ďalšie akceptovať predvolený formát disku a politiku úložiska VM.

                                                                                                                                                  9

                                                                                                                                                  Na Vyberte siete vyberte sieťovú možnosť zo zoznamu položiek, aby ste poskytli požadované pripojenie k VM.

                                                                                                                                                  10

                                                                                                                                                  Na Prispôsobiť šablónu nakonfigurujte nasledujúce nastavenia siete:

                                                                                                                                                  • Meno hosťa— Zadajte FQDN (názov hostiteľa a doménu) alebo jednoslovný názov hostiteľa pre uzol.

                                                                                                                                                     
                                                                                                                                                    • Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                    • Ak chcete zabezpečiť úspešnú registráciu do cloudu, použite iba malé písmená v FQDN alebo názve hostiteľa, ktorý ste nastavili pre uzol. Veľké písmená momentálne nie sú podporované.

                                                                                                                                                    • Celková dĺžka FQDN nesmie presiahnuť 64 znakov.

                                                                                                                                                  • IP adresa— Zadajte IP adresu interného rozhrania uzla.

                                                                                                                                                     

                                                                                                                                                    Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  • Maska— Zadajte adresu masky podsiete v desiatkovom formáte bodka. Napríklad, 255.255.255.0.
                                                                                                                                                  • Brána— Zadajte IP adresu brány. Brána je sieťový uzol, ktorý slúži ako prístupový bod do inej siete.
                                                                                                                                                  • DNS servery— Zadajte čiarkami oddelený zoznam serverov DNS, ktoré sa starajú o preklad názvov domén na číselné adresy IP. (Povolené sú až 4 záznamy DNS.)
                                                                                                                                                  • NTP servery—Zadajte server NTP vašej organizácie alebo iný externý server NTP, ktorý možno použiť vo vašej organizácii. Predvolené servery NTP nemusia fungovať pre všetky podniky. Na zadanie viacerých serverov NTP môžete použiť aj zoznam oddelený čiarkami.
                                                                                                                                                  • Nasaďte všetky uzly v rovnakej podsieti alebo VLAN, aby boli všetky uzly v klastri dosiahnuteľné z klientov vo vašej sieti na administratívne účely.

                                                                                                                                                  Ak chcete, môžete preskočiť konfiguráciu nastavenia siete a postupovať podľa krokov v Nastavte virtuálny počítač Hybrid Data Security na konfiguráciu nastavení z konzoly uzla.


                                                                                                                                                   

                                                                                                                                                  Možnosť konfigurovať nastavenia siete počas nasadenia OVA bola testovaná s ESXi 6.5. Táto možnosť nemusí byť dostupná v starších verziách.

                                                                                                                                                  11

                                                                                                                                                  Kliknite pravým tlačidlom myši na uzol VM a potom vyberte Moc > Zapnutie .

                                                                                                                                                  Softvér Hybrid Data Security je nainštalovaný ako hosť na hostiteľovi VM. Teraz ste pripravení prihlásiť sa do konzoly a nakonfigurovať uzol.

                                                                                                                                                  Tipy na riešenie problémov

                                                                                                                                                  Môžete zaznamenať oneskorenie niekoľkých minút, kým sa kontajnery uzlov objavia. Počas prvého spustenia, počas ktorého sa nemôžete prihlásiť, sa na konzole zobrazí správa brány firewall mosta.

                                                                                                                                                  Nastavte virtuálny počítač Hybrid Data Security

                                                                                                                                                  Tento postup použite na prvé prihlásenie do konzoly VM uzla Hybrid Data Security a nastavenie prihlasovacích poverení. Konzolu môžete použiť aj na konfiguráciu sieťových nastavení pre uzol, ak ste ich nenakonfigurovali v čase nasadenia OVA.

                                                                                                                                                  1

                                                                                                                                                  V klientovi VMware vSphere vyberte svoj uzol Hybrid Data Security VM a vyberte Konzola tab.

                                                                                                                                                  VM sa spustí a zobrazí sa výzva na prihlásenie. Ak sa výzva na prihlásenie nezobrazí, stlačte Zadajte.
                                                                                                                                                  2

                                                                                                                                                  Na prihlásenie a zmenu poverení použite nasledujúce predvolené prihlasovacie meno a heslo:

                                                                                                                                                  1. Prihlásiť sa: admin

                                                                                                                                                  2. heslo: cisco

                                                                                                                                                  Keďže sa do svojho VM prihlasujete prvýkrát, musíte zmeniť heslo správcu.

                                                                                                                                                  3

                                                                                                                                                  Ak ste už nakonfigurovali nastavenia siete v Nainštalujte HDS Host OVA, preskočte zvyšok tohto postupu. V opačnom prípade vyberte v hlavnom menu položku Upraviť konfiguráciu možnosť.

                                                                                                                                                  4

                                                                                                                                                  Nastavte statickú konfiguráciu s IP adresou, maskou, bránou a informáciami DNS. Váš uzol by mal mať internú IP adresu a názov DNS. DHCP nie je podporované.

                                                                                                                                                  5

                                                                                                                                                  (Voliteľné) Zmeňte názov hostiteľa, doménu alebo server(y) NTP, ak je to potrebné, aby zodpovedali zásadám vašej siete.

                                                                                                                                                  Doménu nemusíte nastaviť tak, aby sa zhodovala s doménou, ktorú ste použili na získanie certifikátu X.509.

                                                                                                                                                  6

                                                                                                                                                  Uložte konfiguráciu siete a reštartujte VM, aby sa zmeny prejavili.

                                                                                                                                                  Nahrajte a pripojte ISO konfiguráciu HDS

                                                                                                                                                  Tento postup použite na konfiguráciu virtuálneho počítača zo súboru ISO, ktorý ste vytvorili pomocou nástroja HDS Setup Tool.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Pretože súbor ISO obsahuje hlavný kľúč, mal by byť zverejnený iba na základe „potreby vedieť“, aby k nemu mali prístup virtuálne počítače s hybridným zabezpečením údajov a všetci správcovia, ktorí môžu potrebovať vykonať zmeny. Uistite sa, že k úložisku údajov majú prístup iba títo správcovia.

                                                                                                                                                  1

                                                                                                                                                  Nahrajte súbor ISO z počítača:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite na server ESXi.

                                                                                                                                                  2. Na karte Konfigurácia v zozname Hardvér kliknite na Skladovanie.

                                                                                                                                                  3. V zozname Úložisko údajov kliknite pravým tlačidlom myši na úložisko údajov pre vaše VM a kliknite Prehľadávať Datastore.

                                                                                                                                                  4. Kliknite na ikonu Nahrať súbory a potom kliknite na Nahrajte súbor.

                                                                                                                                                  5. Prejdite do umiestnenia, z ktorého ste si stiahli súbor ISO do počítača, a kliknite OTVORENÉ.

                                                                                                                                                  6. Kliknite Áno akceptujte varovanie o operácii nahrávania/sťahovania a zatvorte dialógové okno úložiska údajov.

                                                                                                                                                  2

                                                                                                                                                  Pripojte súbor ISO:

                                                                                                                                                  1. V ľavom navigačnom paneli klienta VMware vSphere kliknite pravým tlačidlom myši na VM a kliknite Upraviť nastavenia.

                                                                                                                                                  2. Kliknite OK akceptujete varovanie s obmedzenými možnosťami úprav.

                                                                                                                                                  3. Kliknite CD/DVD Drive 1, vyberte možnosť pripojenia zo súboru ISO úložiska údajov a prejdite do umiestnenia, kam ste nahrali konfiguračný súbor ISO.

                                                                                                                                                  4. Skontrolujte Pripojené a Pripojte pri zapnutí.

                                                                                                                                                  5. Uložte zmeny a reštartujte virtuálny počítač.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Ak to vyžaduje vaša politika IT, môžete voliteľne odpojiť súbor ISO po tom, čo všetky vaše uzly prevezmú zmeny konfigurácie. Pozri (Voliteľné) Odpojte ISO po konfigurácii HDS pre podrobnosti.

                                                                                                                                                  Nakonfigurujte uzol HDS na integráciu proxy

                                                                                                                                                  Ak sieťové prostredie vyžaduje server proxy, použite tento postup na určenie typu servera proxy, s ktorým sa chcete integrovať Hybridná bezpečnosť dát. Ak si vyberiete transparentný kontrolný proxy server alebo explicitný proxy server HTTPS, môžete použiť rozhranie uzla na nahranie a inštaláciu koreňového certifikátu. Môžete tiež skontrolovať pripojenie proxy z rozhrania a vyriešiť prípadné problémy.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  1

                                                                                                                                                  Zadajte adresu URL nastavenia uzla HDS https://[HDS Node IP or FQDN]/setup vo webovom prehliadači zadajte poverenia správcu, ktoré ste nastavili pre uzol, a potom kliknite Prihlásiť sa.

                                                                                                                                                  2

                                                                                                                                                  Ísť do Trust Store a proxya potom vyberte možnosť:

                                                                                                                                                  • Žiadny proxy– Predvolená možnosť pred integráciou servera proxy. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný nekontrolujúci zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera a nemali by vyžadovať žiadne zmeny, aby fungovali s nekontrolujúcim proxy serverom. Nevyžaduje sa žiadna aktualizácia certifikátu.
                                                                                                                                                  • Transparentný kontrolný zástupca—Uzly nie sú nakonfigurované na používanie špecifickej adresy proxy servera. Na serveri nie sú potrebné žiadne zmeny konfigurácie HTTPS Hybridná bezpečnosť dát nasadenie, uzly HDS však potrebujú koreňový certifikát, aby dôverovali proxy. Inšpekčné servery proxy zvyčajne používajú IT na presadzovanie pravidiel, ktoré webové stránky možno navštíviť a ktoré typy obsahu nie sú povolené. Tento typ proxy servera dešifruje všetku vašu komunikáciu (dokonca aj HTTPS).
                                                                                                                                                  • Explicitný proxy—Pri explicitnom serveri proxy poviete klientovi (uzly HDS), ktorý server proxy má použiť, a táto možnosť podporuje niekoľko typov autentifikácie. Po výbere tejto možnosti musíte zadať nasledujúce informácie:
                                                                                                                                                    1. Proxy IP/FQDN– Adresa, ktorú možno použiť na spojenie so zariadením proxy.

                                                                                                                                                    2. Port proxy—Číslo portu, ktoré server proxy používa na počúvanie prevádzky cez proxy.

                                                                                                                                                    3. Proxy protokol— Vyberte si http (prezerá a kontroluje všetky požiadavky, ktoré sú prijaté od klienta) resp https (poskytuje kanál pre server a klient prijíma a overuje certifikát servera). Vyberte možnosť podľa toho, čo váš proxy server podporuje.

                                                                                                                                                    4. autentický typ— Vyberte si z nasledujúcich typov autentifikácie:

                                                                                                                                                      • žiadne— Nevyžaduje sa žiadna ďalšia autentifikácia.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                      • Základné— Používa sa pre HTTP User Agent na poskytnutie používateľského mena a hesla pri vytváraní požiadavky. Používa kódovanie Base64.

                                                                                                                                                        Dostupné pre servery proxy HTTP alebo HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                      • Digest– Používa sa na potvrdenie účtu pred odoslaním citlivých informácií. Použije funkciu hash na meno používateľa a heslo pred odoslaním cez sieť.

                                                                                                                                                        Dostupné iba pre servery proxy HTTPS.

                                                                                                                                                        Ak zvolíte túto možnosť, musíte zadať aj meno používateľa a heslo.

                                                                                                                                                  Postupujte podľa nasledujúcich krokov pre transparentný kontrolný proxy server, explicitný proxy server HTTP so základným overením alebo explicitný proxy HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Kliknite Nahrajte koreňový certifikát alebo certifikát koncovej entitya potom prejdite na výber koreňového certifikátu pre server proxy.

                                                                                                                                                  Certifikát je nahraný, ale ešte nie je nainštalovaný, pretože na inštaláciu certifikátu musíte reštartovať uzol. Kliknutím na šípku v tvare šípky vedľa názvu vydavateľa certifikátu získate ďalšie podrobnosti alebo kliknite Odstrániť ak ste urobili chybu a chcete súbor znova nahrať.

                                                                                                                                                  4

                                                                                                                                                  Kliknite Skontrolujte pripojenie proxy na testovanie sieťového pripojenia medzi uzlom a proxy.

                                                                                                                                                  Ak test pripojenia zlyhá, zobrazí sa chybové hlásenie, ktoré uvádza dôvod a spôsob, ako môžete problém vyriešiť.

                                                                                                                                                  Ak sa zobrazí hlásenie, že externé rozlíšenie DNS nebolo úspešné, uzol sa nedokázal spojiť so serverom DNS. Tento stav sa očakáva v mnohých explicitných konfiguráciách proxy. Môžete pokračovať v nastavovaní a uzol bude fungovať v režime zablokovaného externého rozlíšenia DNS. Ak si myslíte, že ide o chybu, vykonajte tieto kroky a potom uvidíte Vypnite režim zablokovaného externého rozlíšenia DNS.

                                                                                                                                                  5

                                                                                                                                                  Po úspešnom teste pripojenia zapnite prepínač v prípade explicitného servera proxy nastaveného iba na https Smerujte všetky požiadavky https z tohto uzla na port 443/444 cez explicitný proxy server. Toto nastavenie sa prejaví po 15 sekundách.

                                                                                                                                                  6

                                                                                                                                                  Kliknite Nainštalujte všetky certifikáty do dôveryhodného úložiska (zobrazí sa pri explicitnom HTTPS proxy alebo transparentnom kontrolnom proxy serveri) alebo Reštartovať (zobrazí sa pri explicitnom serveri proxy HTTP), prečítajte si výzvu a potom kliknite Inštalácia ak si pripravený.

                                                                                                                                                  Uzol sa reštartuje v priebehu niekoľkých minút.

                                                                                                                                                  7

                                                                                                                                                  Po reštartovaní uzla sa v prípade potreby znova prihláste a potom otvorte Prehľad stránku a skontrolujte kontroly pripojenia, aby ste sa uistili, že sú všetky v zelenom stave.

                                                                                                                                                  Kontrola pripojenia proxy testuje iba subdoménu webex.com. Ak sa vyskytnú problémy s pripojením, bežným problémom je, že niektoré z cloudových domén uvedených v pokynoch na inštaláciu sú na serveri proxy blokované.

                                                                                                                                                  Zaregistrujte prvý uzol v klastri

                                                                                                                                                  Táto úloha preberá všeobecný uzol, ktorý ste vytvorili v Nastavte virtuálny počítač Hybrid Data Security, zaregistruje uzol do cloudu Webex a zmení ho na uzol Hybrid Data Security.

                                                                                                                                                  Keď zaregistrujete svoj prvý uzol, vytvoríte klaster, ku ktorému je uzol priradený. Klaster obsahuje jeden alebo viac uzlov nasadených na zabezpečenie redundancie.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  V ponuke na ľavej strane obrazovky vyberte položku Služby.

                                                                                                                                                  3

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite Nastaviť.

                                                                                                                                                  Zobrazí sa stránka Register Hybrid Data Security Node.
                                                                                                                                                  4

                                                                                                                                                  Vyberte Áno na označenie, že ste uzol nastavili a ste pripravení ho zaregistrovať, a potom kliknite Ďalšie.

                                                                                                                                                  5

                                                                                                                                                  Do prvého poľa zadajte názov klastra, ku ktorému chcete priradiť váš uzol Hybrid Data Security.

                                                                                                                                                  Odporúčame pomenovať klaster podľa toho, kde sa geograficky nachádzajú uzly klastra. Príklady: „San Francisco“ alebo „New York“ alebo „Dallas“

                                                                                                                                                  6

                                                                                                                                                  Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                  Táto adresa IP alebo FQDN by sa mala zhodovať s adresou IP alebo názvom hostiteľa a doménou, ktorú ste použili Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  Zobrazí sa správa, že môžete zaregistrovať svoj uzol do Webexu.
                                                                                                                                                  7

                                                                                                                                                  Kliknite Prejdite na Node.

                                                                                                                                                  8

                                                                                                                                                  Kliknite ďalej vo varovnej správe.

                                                                                                                                                  Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že svojej organizácii Webex chcete udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  9

                                                                                                                                                  Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                  Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  10

                                                                                                                                                  Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Na Hybridná bezpečnosť dát sa zobrazí nový klaster obsahujúci uzol, ktorý ste zaregistrovali. Uzol si automaticky stiahne najnovší softvér z cloudu.

                                                                                                                                                  Vytvorte a zaregistrujte viac uzlov

                                                                                                                                                  Ak chcete do svojho klastra pridať ďalšie uzly, jednoducho vytvoríte ďalšie virtuálne počítače a pripojíte rovnaký konfiguračný súbor ISO a potom uzol zaregistrujete. Odporúčame, aby ste mali aspoň 3 uzly.

                                                                                                                                                   

                                                                                                                                                  V súčasnosti sú záložné virtuálne počítače, ktoré ste vytvorili Vyplňte Predpoklady pre hybridnú bezpečnosť údajov sú pohotovostní hostitelia, ktorí sa používajú iba v prípade obnovy po havárii; dovtedy nie sú registrovaní v systéme. Podrobnosti nájdete v časti Obnova po havárii pomocou pohotovostného dátového centra.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Akonáhle začnete registráciu uzla, musíte ju dokončiť do 60 minút alebo musíte začať odznova.

                                                                                                                                                  • Uistite sa, že sú vo vašom prehliadači zakázané všetky blokovanie automaticky otváraných okien alebo že ste povolili výnimku pre admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Vytvorte nový virtuálny počítač z OVA zopakovaním krokov Nainštalujte HDS Host OVA.

                                                                                                                                                  2

                                                                                                                                                  Nastavte počiatočnú konfiguráciu na novom VM zopakovaním krokov v Nastavte virtuálny počítač Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Na novom virtuálnom počítači zopakujte kroky v Nahrajte a pripojte ISO konfiguráciu HDS.

                                                                                                                                                  4

                                                                                                                                                  Ak nastavujete server proxy pre svoje nasadenie, zopakujte kroky v Nakonfigurujte uzol HDS na integráciu proxy podľa potreby pre nový uzol.

                                                                                                                                                  5

                                                                                                                                                  Zaregistrujte uzol.

                                                                                                                                                  1. In https://admin.webex.com, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2. V časti Hybridné služby nájdite kartu Hybrid Data Security a kliknite na ňu Zdroje.

                                                                                                                                                    Zobrazí sa stránka Hybrid Data Security Resources.
                                                                                                                                                  3. Kliknite Pridať zdroj.

                                                                                                                                                  4. V prvom poli vyberte názov vášho existujúceho klastra.

                                                                                                                                                  5. Do druhého poľa zadajte internú IP adresu alebo úplný názov domény (FQDN) vášho uzla a kliknite Ďalšie.

                                                                                                                                                    Zobrazí sa správa oznamujúca, že svoj uzol môžete zaregistrovať do cloudu Webex.
                                                                                                                                                  6. Kliknite Prejdite na Node.

                                                                                                                                                    Po chvíli budete presmerovaní na testy pripojenia uzla pre služby Webex. Ak sú všetky testy úspešné, zobrazí sa stránka Allow Access to Hybrid Data Security Node. Tam potvrdíte, že chcete svojej organizácii udeliť povolenia na prístup k vášmu uzlu.
                                                                                                                                                  7. Skontrolovať Povoľte prístup k svojmu uzlu zabezpečenia hybridných údajov začiarknite políčko a potom kliknite na ďalej.

                                                                                                                                                    Váš účet je overený a správa „Registration Complete“ označuje, že váš uzol je teraz zaregistrovaný v cloude Webex.
                                                                                                                                                  8. Kliknutím na odkaz alebo zatvorením karty sa vrátite na stránku Hybrid Data Security Control Hub.

                                                                                                                                                  Váš uzol je zaregistrovaný. Upozorňujeme, že kým nezačnete skúšobnú verziu, vaše uzly generujú alarm, ktorý oznamuje, že vaša služba ešte nie je aktivovaná.

                                                                                                                                                  Čo urobiť ďalej

                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby (ďalšia kapitola)
                                                                                                                                                  Spustite skúšobnú verziu a prejdite do výroby

                                                                                                                                                  Skúšobný postup produkčných úloh

                                                                                                                                                  Po nastavení klastra Hybrid Data Security môžete spustiť pilotný test, pridať doň používateľov a začať ho používať na testovanie a overovanie vášho nasadenia v rámci prípravy na prechod do produkcie.

                                                                                                                                                  1

                                                                                                                                                  V prípade potreby synchronizujte HdsTrialGroup skupinový objekt.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu pred spustením skúšobnej verzie. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  2

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Začnite skúšobnú verziu. Kým nevykonáte túto úlohu, vaše uzly generujú alarm, ktorý oznamuje, že služba ešte nie je aktivovaná.

                                                                                                                                                  3

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Skontrolujte, či kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Skontrolujte stav a nastavte e-mailové upozornenia na budíky.

                                                                                                                                                  5

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  6

                                                                                                                                                  Dokončite skúšobnú fázu jedným z nasledujúcich krokov:

                                                                                                                                                  Aktivovať skúšobnú verziu

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov pre používateľov, musíte vybrať HdsTrialGroup skupinový objekt na synchronizáciu do cloudu predtým, ako začnete skúšobnú verziu pre vašu organizáciu. Pokyny nájdete na Sprievodca nasadením pre Cisco Directory Connector.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do https://admin.webex.coma potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Spustiť skúšku.

                                                                                                                                                  Stav služby sa zmení na skúšobný režim.
                                                                                                                                                  4

                                                                                                                                                  Kliknite Pridať používateľov a zadajte e-mailovú adresu jedného alebo viacerých používateľov na pilotné používanie vašich uzlov Hybrid Data Security na šifrovacie a indexovacie služby.

                                                                                                                                                  (Ak vaša organizácia používa synchronizáciu adresárov, na správu skúšobnej skupiny použite službu Active Directory, HdsTrialGroup.)

                                                                                                                                                  Otestujte svoje nasadenie hybridného zabezpečenia dát

                                                                                                                                                  Tento postup použite na testovanie scenárov šifrovania Hybrid Data Security.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nastavte nasadenie Hybrid Data Security.

                                                                                                                                                  • Aktivujte skúšobnú verziu a pridajte niekoľko používateľov skúšobnej verzie.

                                                                                                                                                  • Uistite sa, že máte prístup k syslog, aby ste si overili, že kľúčové požiadavky prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Kľúče pre daný priestor nastavuje tvorca priestoru. Prihláste sa do aplikácie Webex ako jeden z pilotných používateľov a potom vytvorte priestor a pozvite aspoň jedného pilotného používateľa a jedného nepilotného používateľa.


                                                                                                                                                   

                                                                                                                                                  Ak deaktivujete nasadenie Hybrid Data Security, obsah v priestoroch, ktoré vytvoria pilotní používatelia, už nebude prístupný po výmene kópií šifrovacích kľúčov uložených vo vyrovnávacej pamäti klienta.

                                                                                                                                                  2

                                                                                                                                                  Posielajte správy do nového priestoru.

                                                                                                                                                  3

                                                                                                                                                  Skontrolujte výstup syslog, aby ste si overili, že požiadavky na kľúče prechádzajú do vášho nasadenia Hybrid Data Security.

                                                                                                                                                  1. Ak chcete skontrolovať, či používateľ najprv vytvoril zabezpečený kanál pre KMS, filtrujte kms.data.method=create a kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam, ako je tento (identifikátory skrátené kvôli čitateľnosti):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Ak chcete skontrolovať používateľa, ktorý požaduje existujúci kľúč z KMS, filtrujte kms.data.method=retrieve a kms.data.type=KEY:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Ak chcete skontrolovať používateľa požadujúceho vytvorenie nového kľúča KMS, filtrujte kms.data.method=create a kms.data.type=KEY_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Ak chcete pri vytváraní priestoru alebo iného chráneného zdroja skontrolovať používateľa požadujúceho vytvorenie nového objektu KMS (KRO), filtrujte na kms.data.method=create a kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    Mali by ste nájsť záznam ako:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitorujte zdravie Hybrid Data Security Health

                                                                                                                                                  Indikátor stavu v Control Hub vám ukáže, či je s nasadením Hybrid Data Security všetko v poriadku. Ak chcete dostávať proaktívnejšie upozornenia, prihláste sa na odber e-mailových upozornení. Budete upozornení, keď sa vyskytnú alarmy alebo aktualizácie softvéru ovplyvňujúce službu.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, vyberte Služby z ponuky na ľavej strane obrazovky.

                                                                                                                                                  2

                                                                                                                                                  V sekcii Hybridné služby nájdite Hybridné zabezpečenie dát a kliknite nastavenie.

                                                                                                                                                  Zobrazí sa stránka Hybrid Data Security Settings.
                                                                                                                                                  3

                                                                                                                                                  V časti E-mailové upozornenia zadajte jednu alebo viac e-mailových adries oddelených čiarkami a stlačte Zadajte.

                                                                                                                                                  Pridajte alebo odstráňte používateľov z vašej skúšobnej verzie

                                                                                                                                                  Po aktivácii skúšobnej verzie a pridaní počiatočnej skupiny používateľov skúšobnej verzie môžete členov skúšobnej verzie kedykoľvek pridať alebo odstrániť, kým je skúšobná verzia aktívna.

                                                                                                                                                  Ak odstránite používateľa zo skúšobnej verzie, klient tohto používateľa bude namiesto vášho KMS požadovať kľúče a vytvorenie kľúča z cloudového KMS. Ak klient potrebuje kľúč, ktorý je uložený vo vašom KMS, cloudový KMS ho načíta v mene používateľa.

                                                                                                                                                  Ak vaša organizácia používa synchronizáciu adresárov, použite Active Directory (namiesto tohto postupu) na správu skúšobnej skupiny, HdsTrialGroup; členov skupiny môžete zobraziť v Control Hub, ale nemôžete ich pridávať ani odstraňovať.

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Skúšobný režim v oblasti Stav služby kliknite na Pridať používateľov, alebo kliknite zobraziť a upraviť na odstránenie používateľov zo skúšobnej verzie.

                                                                                                                                                  4

                                                                                                                                                  Zadajte e-mailovú adresu jedného alebo viacerých používateľov, ktorých chcete pridať, alebo kliknite na X pomocou ID používateľa na odstránenie používateľa zo skúšobnej verzie. Potom kliknite Uložiť.

                                                                                                                                                  Presuňte sa zo skúšobnej do produkčnej verzie

                                                                                                                                                  Keď ste spokojní, že vaše nasadenie funguje dobre pre skúšobných používateľov, môžete prejsť do produkcie. Keď prejdete do produkcie, všetci používatelia v organizácii budú používať vašu lokálnu doménu Hybrid Data Security na šifrovacie kľúče a ďalšie služby v oblasti zabezpečenia. Z produkcie sa nemôžete vrátiť späť do skúšobného režimu, pokiaľ službu nedeaktivujete ako súčasť obnovy po havárii. Opätovná aktivácia služby vyžaduje nastavenie novej skúšobnej verzie.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Stav služby kliknite na Presunúť do výroby.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete presunúť všetkých svojich používateľov do produkcie.

                                                                                                                                                  Ukončite skúšobnú verziu bez presunu do výroby

                                                                                                                                                  Ak sa počas skúšobného obdobia rozhodnete nepokračovať v nasadení Hybrid Data Security, môžete deaktivovať Hybrid Data Security, čím sa skúšobná verzia ukončí a skúšobní používatelia sa presunú späť ku cloudovým službám zabezpečenia údajov. Používatelia skúšobnej verzie stratia prístup k údajom, ktoré boli počas skúšobnej verzie zašifrované.
                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub a potom vyberte Služby.

                                                                                                                                                  2

                                                                                                                                                  V časti Hybrid Data Security kliknite na nastavenie.

                                                                                                                                                  3

                                                                                                                                                  V časti Deaktivovať kliknite na Deaktivovať.

                                                                                                                                                  4

                                                                                                                                                  Potvrďte, že chcete službu deaktivovať a ukončiť skúšobnú verziu.

                                                                                                                                                  Spravujte svoje nasadenie HDS

                                                                                                                                                  Spravujte nasadenie HDS

                                                                                                                                                  Pomocou tu popísaných úloh spravujte svoje nasadenie Hybrid Data Security.

                                                                                                                                                  Nastavte plán aktualizácie klastra

                                                                                                                                                  Aktualizácie softvéru pre Hybrid Data Security sa vykonávajú automaticky na úrovni klastra, čo zaisťuje, že všetky uzly vždy bežia s rovnakou verziou softvéru. Inovácie sa vykonávajú podľa plánu aktualizácie pre klaster. Keď bude k dispozícii aktualizácia softvéru, máte možnosť manuálne aktualizovať klaster pred plánovaným časom aktualizácie. Môžete nastaviť konkrétny plán inovácie alebo použiť predvolený plán na 3:00 denne v USA: Amerika/Los Angeles. V prípade potreby môžete tiež odložiť nadchádzajúcu inováciu.

                                                                                                                                                  Ak chcete nastaviť plán aktualizácie:

                                                                                                                                                  1

                                                                                                                                                  Prihláste sa do Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Na stránke Prehľad v časti Hybridné služby vyberte Hybridná bezpečnosť dát.

                                                                                                                                                  3

                                                                                                                                                  Na stránke Hybrid Data Security Resources vyberte klaster.

                                                                                                                                                  4

                                                                                                                                                  Na paneli Prehľad vpravo v časti Nastavenia klastra vyberte názov klastra.

                                                                                                                                                  5

                                                                                                                                                  Na stránke Nastavenia v časti Aktualizácia vyberte čas a časové pásmo pre plán inovácie.

                                                                                                                                                  Poznámka: Pod časovým pásmom sa zobrazí dátum a čas ďalšej dostupnej aktualizácie. Kliknutím na tlačidlo môžete v prípade potreby odložiť aktualizáciu na nasledujúci deň Odložiť.

                                                                                                                                                  Zmeňte konfiguráciu uzla

                                                                                                                                                  Príležitostne možno budete musieť zmeniť konfiguráciu uzla Hybrid Data Security z nasledujúcich dôvodov:
                                                                                                                                                  • Zmena x.509 certifikátov z dôvodu uplynutia platnosti alebo iných dôvodov.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme zmenu názvu domény CN certifikátu. Doména sa musí zhodovať s pôvodnou doménou použitou na registráciu klastra.

                                                                                                                                                  • Aktualizácia nastavení databázy pre zmenu na repliku databázy PostgreSQL alebo Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Nepodporujeme migráciu údajov z PostgreSQL na Microsoft SQL Server alebo opačným spôsobom. Ak chcete zmeniť prostredie databázy, spustite nové nasadenie Hybrid Data Security.

                                                                                                                                                  • Vytvorenie novej konfigurácie na prípravu nového dátového centra.

                                                                                                                                                  Z bezpečnostných dôvodov používa Hybrid Data Security heslá servisných účtov, ktoré majú životnosť deväť mesiacov. Keď nástroj HDS Setup vygeneruje tieto heslá, nasadíte ich do každého z vašich uzlov HDS v konfiguračnom súbore ISO. Keď sa blíži koniec platnosti hesiel vašej organizácie, dostanete od tímu Webex upozornenie na resetovanie hesla pre váš počítačový účet. (E-mail obsahuje text „Na aktualizáciu hesla použite rozhranie API strojového účtu.“) Ak platnosť vašich hesiel ešte nevypršala, nástroj vám ponúka dve možnosti:

                                                                                                                                                  • Mäkký reset—Staré aj nové heslo fungujú až 10 dní. Toto obdobie použite na postupnú výmenu súboru ISO na uzloch.

                                                                                                                                                  • Tvrdý reštart—Staré heslá okamžite prestanú fungovať.

                                                                                                                                                  Ak platnosť vašich hesiel vyprší bez resetovania, ovplyvní to vašu službu HDS, čo si vyžaduje okamžitý tvrdý reset a nahradenie súboru ISO na všetkých uzloch.

                                                                                                                                                  Tento postup použite na vygenerovanie nového konfiguračného súboru ISO a jeho použitie vo vašom klastri.

                                                                                                                                                  Predtým ako začneš

                                                                                                                                                  • Nástroj HDS Setup beží ako kontajner Docker na lokálnom počítači. Ak chcete k nemu pristupovať, spustite na tomto počítači Docker. Proces nastavenia vyžaduje poverenia účtu Control Hub s úplnými administrátorskými právami pre vašu organizáciu.

                                                                                                                                                    Ak je nástroj HDS Setup vo vašom prostredí spustený za serverom proxy, pri spúšťaní kontajnera Docker zadajte nastavenia proxy (server, port, poverenia) prostredníctvom premenných prostredia Docker 1.e. Táto tabuľka uvádza niektoré možné premenné prostredia:

                                                                                                                                                    Opis

                                                                                                                                                    Variabilné

                                                                                                                                                    HTTP Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTPS Proxy bez autentifikácie

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    HTTP Proxy s autentifik