- Domov
- /
- Članek
Nove in spremenjene informacije
Datum | Izvedene spremembe | ||
---|---|---|---|
20. oktober 2023 |
| ||
7. avgust 2023 |
| ||
23. maj 2023 |
| ||
6. december 2022 |
| ||
23. november 2022 |
| ||
13. oktober 2021 | Docker Desktop mora zagnati namestitveni program, preden lahko namestite vozlišča HDS. glej Zahteve za namizje Docker. | ||
24. junij 2021 | Upoštevajte, da lahko znova uporabite datoteko zasebnega ključa in CSR, da zahtevate drugo potrdilo. glej Uporabite OpenSSL za ustvarjanje datoteke PKCS12 za podrobnosti. | ||
30. april 2021 | Zahteva VM za lokalni prostor na trdem disku je spremenjena na 30 GB. glej Zahteve za virtualnega gostitelja za podrobnosti. | ||
24. februar 2021 | Orodje za nastavitev HDS lahko zdaj deluje za posrednikom. glej Ustvarite konfiguracijski ISO za gostitelje HDS za podrobnosti. | ||
2. februar 2021 | HDS lahko zdaj deluje brez nameščene datoteke ISO. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti. | ||
11. januar 2021 | Dodane informacije o orodju za nastavitev HDS in proxyjih za Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
13. oktober 2020 | Posodobljeno Prenesite namestitvene datoteke. | ||
8. oktober 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča z ukazi za okolja FedRAMP. | ||
14. avgust 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča s spremembami postopka prijave. | ||
5. avgust 2020 | Posodobljeno Preizkusite svojo hibridno uvedbo varnosti podatkov za spremembe v dnevniških sporočilih. Posodobljeno Zahteve za virtualnega gostitelja da odstranite največje število gostiteljev. | ||
16. junij 2020 | Posodobljeno Odstranite vozlišče za spremembe v uporabniškem vmesniku Control Hub. | ||
4. junij 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS za spremembe v naprednih nastavitvah, ki jih lahko nastavite. | ||
29. maj 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS da pokažete, da lahko TLS uporabljate tudi z bazami podatkov SQL Server, spremembami uporabniškega vmesnika in drugimi pojasnili. | ||
5. maj 2020 | Posodobljeno Zahteve za virtualnega gostitelja za prikaz novih zahtev ESXi 6.5. | ||
21. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z novimi gostitelji CI Amerike. | ||
1. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z informacijami o regionalnih gostiteljih CI. | ||
20. februar 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS z informacijami o novem izbirnem zaslonu z naprednimi nastavitvami v orodju za nastavitev HDS. | ||
4. februar 2020 | Posodobljeno Zahteve za strežnik proxy. | ||
16. december 2019 | Pojasnjena je zahteva za delovanje v načinu blokiranega zunanjega razreševanja DNS Zahteve za strežnik proxy. | ||
19. november 2019 | Dodane informacije o načinu razreševanja blokiranega zunanjega DNS-ja v naslednjih razdelkih: | ||
8. november 2019 | Zdaj lahko konfigurirate omrežne nastavitve za vozlišče med uvajanjem OVA in ne pozneje. Ustrezno posodobljeni naslednji razdelki:
| ||
6. september 2019 | Dodan SQL Server Standard Zahteve za strežnik baze podatkov. | ||
29. avgust 2019 | Dodano Konfigurirajte posrednike Squid za hibridno varnost podatkov dodatek z navodili za konfiguriranje proxyjev Squid, da za pravilno delovanje prezrejo promet spletnih vtičnic. | ||
20. avgust 2019 | Dodani in posodobljeni razdelki za pokrivanje podpore posrednika za komunikacije vozlišča Hybrid Data Security z oblakom Webex. Za dostop samo do podporne vsebine proxyja za obstoječo uvedbo glejte Proxy podpora za Hybrid Data Security in Webex Video Mesh članek za pomoč. | ||
13. junij 2019 | Posodobljeno Potek naloge od preizkusa do proizvodnje z opomnikom za sinhronizacijo HdsTrialGroup predmet skupine pred začetkom preizkusa, če vaša organizacija uporablja sinhronizacijo imenikov. | ||
6. marec 2019 |
| ||
28. februar 2019 |
| ||
26. februar 2019 |
| ||
24. januar 2019 |
| ||
5. november 2018 |
| ||
19. oktober 2018 |
| ||
31. julij 2018 |
| ||
21. maj 2018 | Spremenjena terminologija, ki odraža preimenovanje Cisco Spark:
| ||
11. april 2018 |
| ||
22. februar 2018 |
| ||
15. februar 2018 |
| ||
18. januar 2018 |
| ||
2. november 2017 |
| ||
18. avgust 2017 | Prvič objavljeno |
Pregled varnosti hibridnih podatkov
Od prvega dne je bila varnost podatkov glavni poudarek pri oblikovanju Aplikacija Webex. Temelj te varnosti je šifriranje vsebine od konca do konca, ki ga omogoča Aplikacija Webex stranke, ki komunicirajo s storitvijo upravljanja ključev (KMS). KMS je odgovoren za ustvarjanje in upravljanje kriptografskih ključev, ki jih stranke uporabljajo za dinamično šifriranje in dešifriranje sporočil in datotek.
Privzeto vse Aplikacija Webex stranke dobijo šifriranje od konca do konca z dinamičnimi ključi, shranjenimi v oblaku KMS, v Ciscovem varnostnem področju. Hybrid Data Security premakne KMS in druge funkcije, povezane z varnostjo, v podatkovni center vašega podjetja, tako da nihče drug kot vi nima ključev do vaše šifrirane vsebine.
Arhitektura varnostnega področja
Arhitektura oblaka Webex ločuje različne vrste storitev v ločena področja ali domene zaupanja, kot je prikazano spodaj.
Za nadaljnje razumevanje hibridne varnosti podatkov si najprej oglejmo ta čisti oblak, kjer Cisco zagotavlja vse funkcije v svojem oblaku. Storitev identitete, edino mesto, kjer so uporabniki lahko neposredno povezani z njihovimi osebnimi podatki, kot je e-poštni naslov, je logično in fizično ločena od varnostnega področja v podatkovnem centru B. Oboje je ločeno od področja, kjer je na koncu shranjena šifrirana vsebina. , v podatkovnem centru C.
V tem diagramu je odjemalec aplikacija Webex, ki se izvaja na prenosnem računalniku uporabnika in je bila overjena s storitvijo identitete. Ko uporabnik sestavi sporočilo za pošiljanje v prostor, potekajo naslednji koraki:
Odjemalec vzpostavi varno povezavo s storitvijo za upravljanje ključev (KMS), nato pa zahteva ključ za šifriranje sporočila. Varna povezava uporablja ECDH, KMS pa šifrira ključ z glavnim ključem AES-256.
Sporočilo je šifrirano, preden zapusti odjemalca. Odjemalec ga pošlje storitvi indeksiranja, ki ustvari šifrirane iskalne indekse za pomoč pri prihodnjih iskanjih vsebine.
Šifrirano sporočilo je poslano storitvi skladnosti za preverjanje skladnosti.
Šifrirano sporočilo je shranjeno v območju shranjevanja.
Ko uvedete Hybrid Data Security, premaknete funkcije varnostnega področja (KMS, indeksiranje in skladnost) v vaš lokalni podatkovni center. Druge storitve v oblaku, ki sestavljajo Webex (vključno s shranjevanjem identitete in vsebine), ostajajo v domeni Cisca.
Sodelovanje z drugimi organizacijami
Uporabniki v vaši organizaciji lahko redno uporabljajo aplikacijo Webex za sodelovanje z zunanjimi udeleženci v drugih organizacijah. Ko eden od vaših uporabnikov zahteva ključ za prostor, ki je v lasti vaše organizacije (ker ga je ustvaril eden od vaših uporabnikov), vaš KMS pošlje ključ odjemalcu prek zaščitenega kanala ECDH. Ko pa ima druga organizacija ključ za prostor, vaš KMS usmeri zahtevo v oblak Webex prek ločenega kanala ECDH, da pridobi ključ od ustreznega KMS, in nato vrne ključ vašemu uporabniku na izvirnem kanalu.
Storitev KMS, ki se izvaja v organizaciji A, preverja povezave s KMS-ji v drugih organizacijah z uporabo potrdil x.509 PKI. glej Pripravite svoje okolje za podrobnosti o ustvarjanju potrdila x.509 za uporabo z vašo uvedbo Hybrid Data Security.
Pričakovanja glede uvajanja hibridne varnosti podatkov
Uvedba hibridne varnosti podatkov zahteva veliko predanost strank in zavedanje tveganj, ki jih prinaša posedovanje šifrirnih ključev.
Za uvedbo Hybrid Data Security morate zagotoviti:
Varen podatkovni center v državi, ki je a podprto lokacijo za načrte Cisco Webex Teams.
Oprema, programska oprema in dostop do omrežja, opisani v Pripravite svoje okolje.
Popolna izguba konfiguracije ISO, ki jo zgradite za Hybrid Data Security, ali baze podatkov, ki jo zagotovite, bo povzročila izgubo ključev. Izguba ključa uporabnikom prepreči dešifriranje prostorske vsebine in drugih šifriranih podatkov v aplikaciji Webex. Če se to zgodi, lahko zgradite novo uvedbo, vendar bo vidna samo nova vsebina. Da preprečite izgubo dostopa do podatkov, morate:
Upravljajte varnostno kopiranje in obnovitev baze podatkov in konfiguracije ISO.
Bodite pripravljeni izvesti hitro obnovitev po katastrofi, če pride do katastrofe, kot je okvara diska baze podatkov ali katastrofa podatkovnega centra.
Ni mehanizma za premik ključev nazaj v oblak po uvedbi HDS. |
Postopek namestitve na visoki ravni
Ta dokument pokriva nastavitev in upravljanje uvedbe Hybrid Data Security:
Nastavite hibridno varnost podatkov— To vključuje pripravo zahtevane infrastrukture in namestitev programske opreme Hybrid Data Security, testiranje vaše uvedbe s podnaborom uporabnikov v preskusnem načinu in, ko je vaše testiranje končano, premik v proizvodnjo. To pretvori celotno organizacijo v uporabo vaše Hybrid Data Security gruče za varnostne funkcije.
Faze nastavitve, preizkusa in proizvodnje so podrobno obravnavane v naslednjih treh poglavjih.
Ohranite svojo uvedbo Hybrid Data Security— Oblak Webex samodejno zagotavlja stalne nadgradnje. Vaš IT oddelek lahko zagotovi podporo prve stopnje za to uvedbo in po potrebi vključi podporo Cisco. V Control Hubu lahko uporabite obvestila na zaslonu in nastavite opozorila po e-pošti.
Razumevanje pogostih opozoril, korakov za odpravljanje težav in znanih težav—Če naletite na težave pri uvajanju ali uporabi Hybrid Data Security, vam lahko zadnje poglavje tega vodnika in dodatek Znane težave pomagata ugotoviti in odpraviti težavo.
Hibridni model uvajanja varnosti podatkov
Znotraj podatkovnega centra vašega podjetja namestite Hybrid Data Security kot eno samo gručo vozlišč na ločenih virtualnih gostiteljih. Vozlišča komunicirajo z oblakom Webex prek varnih spletnih vtičnic in varnega HTTP-ja.
Med postopkom namestitve vam zagotovimo datoteko OVA za nastavitev virtualne naprave na VM, ki jih zagotovite. Z orodjem za nastavitev HDS ustvarite datoteko ISO konfiguracije gruče po meri, ki jo namestite na vsako vozlišče. Grozd Hybrid Data Security uporablja strežnik Syslogd, ki ste ga zagotovili, in bazo podatkov PostgreSQL ali Microsoft SQL Server. (Syslogd in podrobnosti o povezavi baze podatkov konfigurirate v orodju za namestitev HDS.)
Najmanjše število vozlišč, ki jih lahko imate v gruči, sta dve. Priporočamo vsaj tri, lahko pa tudi do pet. Če imate več vozlišč, zagotovite, da storitev ni prekinjena med nadgradnjo programske opreme ali drugo vzdrževalno dejavnostjo na vozlišču. (Oblak Webex nadgrajuje samo eno vozlišče naenkrat.)
Vsa vozlišča v gruči dostopajo do iste shrambe ključnih podatkov in beležijo dejavnost v isti strežnik syslog. Sama vozlišča so brez stanja in obravnavajo ključne zahteve na krožni način, po navodilih oblaka.
Vozlišča postanejo aktivna, ko jih registrirate v Control Hub. Če želite posamezno vozlišče izključiti iz uporabe, ga lahko odjavite in pozneje po potrebi znova registrirate.
Podpiramo samo eno gručo na organizacijo.
Preizkusni način hibridne varnosti podatkov
Ko nastavite uvedbo Hybrid Data Security, jo najprej preizkusite z nizom pilotnih uporabnikov. Med preskusnim obdobjem ti uporabniki uporabljajo vašo domeno Hybrid Data Security na mestu uporabe za šifrirne ključe in druge storitve varnostnega področja. Vaši drugi uporabniki še naprej uporabljajo varnostno področje oblaka.
Če se med preskusnim obdobjem odločite, da ne boste nadaljevali z uvajanjem in deaktivirate storitev, bodo pilotni uporabniki in vsi uporabniki, s katerimi so sodelovali z ustvarjanjem novih prostorov med preskusnim obdobjem, izgubili dostop do sporočil in vsebine. V aplikaciji Webex bodo videli »Tega sporočila ni mogoče dešifrirati«.
Če ste zadovoljni, da vaša uvedba dobro deluje za preskusne uporabnike in ste pripravljeni razširiti Hybrid Data Security na vse svoje uporabnike, premaknite uvedbo v produkcijo. Pilotni uporabniki imajo še naprej dostop do ključev, ki so bili v uporabi med preskusom. Vendar se ne morete premikati naprej in nazaj med produkcijskim načinom in prvotnim preskusom. Če morate deaktivirati storitev, na primer za izvedbo obnovitve po katastrofi, morate ob ponovni aktivaciji začeti novo preskusno različico in nastaviti nabor pilotnih uporabnikov za novo preskusno različico, preden se premaknete nazaj v produkcijski način. Ali uporabniki obdržijo dostop do podatkov na tej točki, je odvisno od tega, ali ste uspešno vzdrževali varnostne kopije shrambe ključnih podatkov in konfiguracijske datoteke ISO za vozlišča Hybrid Data Security v vaši gruči.
Podatkovni center v pripravljenosti za obnovitev po katastrofi
Med uvajanjem nastavite varen podatkovni center v pripravljenosti. V primeru katastrofe v podatkovnem centru lahko ročno prekinete svojo uvedbo v podatkovni center v pripravljenosti.
Podatkovne baze aktivnega in rezervnega podatkovnega centra so med seboj sinhronizirane, kar bo zmanjšalo čas, potreben za izvedbo samodejnega preklopa. Datoteka ISO podatkovnega centra v pripravljenosti je posodobljena z dodatnimi konfiguracijami, ki zagotavljajo, da so vozlišča registrirana v organizaciji, vendar ne bodo obravnavala prometa. Tako so vozlišča podatkovnega centra v pripravljenosti vedno posodobljena z najnovejšo različico programske opreme HDS.
Aktivna vozlišča Hybrid Data Security morajo biti vedno v istem podatkovnem centru kot aktivni strežnik baze podatkov. |
Nastavite podatkovni center v pripravljenosti za obnovitev po katastrofi
Za konfiguracijo datoteke ISO podatkovnega centra v pripravljenosti sledite spodnjim korakom:
Preden začneš
Podatkovni center v pripravljenosti bi moral zrcaliti produkcijsko okolje navideznih strojev in rezervno bazo podatkov PostgreSQL ali Microsoft SQL Server. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. (Glej Podatkovni center v pripravljenosti za obnovitev po katastrofi za pregled tega modela samodejnega preklopa.)
Prepričajte se, da je omogočena sinhronizacija baze podatkov med bazo podatkov aktivnih in pasivnih vozlišč gruče.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS.
| ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve strani dodajte spodnjo konfiguracijo, da postavite vozlišče v pasivni način. V tem načinu bo vozlišče registrirano v organizaciji in povezano z oblakom, vendar ne bo obravnavalo prometa.
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
Po konfiguraciji passiveMode
v datoteko ISO in jo shranite, lahko ustvarite drugo kopijo datoteke ISO brez passiveMode
konfiguracijo in jo shranite na varno mesto. Ta kopija datoteke ISO brez passiveMode
konfigurirano lahko pomaga pri hitrem procesu samodejnega preklopa med obnovitvijo po katastrofi. glej Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti za podroben postopek samodejnega preklopa.
Podpora za proxy
Hybrid Data Security podpira eksplicitne, pregledne inšpekcijske in neinšpekcijske posrednike. Te posrednike lahko povežete s svojo uvedbo, tako da lahko zavarujete in spremljate promet iz podjetja v oblak. Skrbniški vmesnik platforme lahko uporabite na vozliščih za upravljanje potrdil in za preverjanje splošnega stanja povezljivosti, potem ko nastavite proxy na vozliščih.
Vozlišča Hybrid Data Security podpirajo naslednje možnosti posrednika:
Brez posrednika— Privzeto, če za integracijo proxyja ne uporabljate nastavitve vozlišča HDS Trust Store & Proxy. Posodobitev potrdila ni potrebna.
Transparenten proxy brez nadzora— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy in ne bi smela zahtevati nobenih sprememb za delo s proxyjem, ki ne preverja. Posodobitev potrdila ni potrebna.
Transparentni proxy za tuneliranje ali pregledovanje— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy. Na vozliščih niso potrebne spremembe konfiguracije HTTP ali HTTPS. Vendar vozlišča potrebujejo korensko potrdilo, da zaupajo proxyju. Inspecting proxy običajno uporablja IT za uveljavljanje pravilnikov o tem, katera spletna mesta je mogoče obiskati in katere vrste vsebine niso dovoljene. Ta vrsta proxyja dešifrira ves vaš promet (tudi HTTPS).
Eksplicitni posrednik— Z eksplicitnim proxy vozliščem HDS poveste, kateri strežnik proxy in shemo preverjanja pristnosti naj uporabijo. Če želite konfigurirati eksplicitni proxy, morate v vsako vozlišče vnesti naslednje informacije:
Proxy IP/FQDN—Naslov, ki ga je mogoče uporabiti za dostop do proxy naprave.
Proxy vrata—Številka vrat, ki jih proxy uporablja za poslušanje prometa prek posrednika.
Proxy protokol—Glede na to, kaj podpira vaš proxy strežnik, izberite med naslednjimi protokoli:
HTTP—Ogleda in nadzoruje vse zahteve, ki jih pošlje odjemalec.
HTTPS—zagotavlja kanal strežniku. Odjemalec prejme in potrdi potrdilo strežnika.
Vrsta avtentikacije—Izbirajte med naslednjimi vrstami preverjanja pristnosti:
Noben— Nadaljnje preverjanje pristnosti ni potrebno.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Osnovno—Uporablja se za uporabniškega agenta HTTP, da zagotovi uporabniško ime in geslo, ko poda zahtevo. Uporablja kodiranje Base64.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
prebaviti— Uporablja se za potrditev računa pred pošiljanjem občutljivih informacij. Uporabi zgoščeno funkcijo za uporabniško ime in geslo pred pošiljanjem po omrežju.
Na voljo samo, če izberete HTTPS kot posredniški protokol.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
Primer vozlišč hibridne varnosti podatkov in posrednika
Ta diagram prikazuje primer povezave med Hybrid Data Security, omrežjem in proxyjem. Za možnosti transparentnega pregledovanja in eksplicitnega pregledovanja HTTPS proxy mora biti isto korensko potrdilo nameščeno na proxyju in vozliščih Hybrid Data Security.
Blokiran zunanji način reševanja DNS (eksplicitne konfiguracije proxyja)
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Pri uvedbah z eksplicitnimi konfiguracijami posrednika, ki ne dovoljujejo zunanjega razreševanja DNS za notranje odjemalce, če vozlišče ne more poizvedovati po strežnikih DNS, samodejno preide v način blokiranega zunanjega razreševanja DNS. V tem načinu se lahko nadaljuje registracija vozlišča in drugi testi povezljivosti posrednika.
Zahteve za hibridno varnost podatkov
Licenčne zahteve za Cisco Webex
Če želite uvesti Hybrid Data Security:
Za Cisco Webex Control Hub morate imeti Pro Pack. (Glej https://www.cisco.com/go/pro-pack.)
Zahteve za namizje Docker
Preden namestite vozlišča HDS, potrebujete Docker Desktop za zagon namestitvenega programa. Docker je nedavno posodobil svoj model licenciranja. Vaša organizacija morda zahteva plačljivo naročnino za Docker Desktop. Za podrobnosti si oglejte objavo v spletnem dnevniku Docker, " Docker posodablja in podaljšuje naše naročnine na izdelke".
Zahteve za potrdilo X.509
Certifikacijska veriga mora izpolnjevati naslednje zahteve:
Zahteva | Podrobnosti |
---|---|
| Privzeto zaupamo CA-jem na seznamu Mozilla (z izjemo WoSign in StartCom) na https://wiki.mozilla.org/CA:IncludedCAs. |
| Ni treba, da je CN dosegljiv ali gostitelj v živo. Priporočamo, da uporabite ime, ki odraža vašo organizacijo, na primer KN ne sme vsebovati * (nadomestni znak). CN se uporablja za preverjanje vozlišč Hybrid Data Security za odjemalce aplikacije Webex. Vsa vozlišča Hybrid Data Security v vaši gruči uporabljajo isto potrdilo. Vaš KMS se identificira z uporabo domene CN, ne katere koli domene, ki je definirana v poljih SAN x.509v3. Ko registrirate vozlišče s tem potrdilom, ne podpiramo spreminjanja imena domene CN. Izberite domeno, ki se lahko uporablja za preskusno in produkcijsko uvedbo. |
| Programska oprema KMS ne podpira podpisov SHA1 za preverjanje povezav s KMS-ji drugih organizacij. |
| Za spremembo oblike potrdila lahko uporabite pretvornik, kot je OpenSSL. Ko zaženete orodje za nastavitev HDS, boste morali vnesti geslo. |
Programska oprema KMS ne uveljavlja uporabe ključev ali razširjenih omejitev uporabe ključev. Nekateri overitelji potrdil zahtevajo, da se za vsako potrdilo uporabijo razširjene omejitve uporabe ključa, na primer preverjanje pristnosti strežnika. V redu je, če uporabite avtentikacijo strežnika ali druge nastavitve.
Zahteve za virtualnega gostitelja
Navidezni gostitelji, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči, imajo naslednje zahteve:
Vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru
VMware ESXi 6.5 (ali novejši) nameščen in deluje.
Če imate starejšo različico ESXi, morate nadgraditi.
Najmanj 4 vCPU-ji, 8 GB glavnega pomnilnika, 30 GB lokalnega prostora na trdem disku na strežnik
Zahteve za strežnik baze podatkov
Ustvarite novo bazo podatkov za shranjevanje ključev. Ne uporabljajte privzete zbirke podatkov. Ko so nameščene aplikacije HDS, ustvarijo shemo baze podatkov. |
Obstajata dve možnosti za strežnik baze podatkov. Zahteve za vsakega so naslednje:
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) | Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) |
Programska oprema HDS trenutno namesti naslednje različice gonilnikov za komunikacijo s strežnikom baze podatkov:
PostgreSQL | Microsoft SQL Server |
---|---|
Gonilnik Postgres JDBC 42.2.5 | Gonilnik SQL Server JDBC 4.6 Ta različica gonilnika podpira SQL Server Always On ( Always On Failover Cluster Instances in Skupine razpoložljivosti Always On). |
Dodatne zahteve za preverjanje pristnosti sistema Windows proti strežniku Microsoft SQL Server
Če želite, da vozlišča HDS uporabljajo preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev v strežniku Microsoft SQL Server, potrebujete naslednjo konfiguracijo v svojem okolju:
Vozlišča HDS, infrastruktura Active Directory in MS SQL Server morajo biti vsi sinhronizirani z NTP.
Račun Windows, ki ga zagotovite vozliščem HDS, mora imeti dostop za branje/pisanje do baze podatkov.
Strežniki DNS, ki jih zagotovite vozliščem HDS, morajo imeti možnost razrešiti vaš center za distribucijo ključev (KDC).
Primerek baze podatkov HDS lahko registrirate na strežniku Microsoft SQL Server kot glavno ime storitve (SPN) v imeniku Active Directory. glej Registrirajte glavno ime storitve za povezave Kerberos.
Orodje za nastavitev HDS, zaganjalnik HDS in lokalni KMS morajo uporabljati preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev. Uporabijo podrobnosti iz vaše konfiguracije ISO za izdelavo SPN, ko zahtevajo dostop s preverjanjem pristnosti Kerberos.
Zahteve za zunanjo povezljivost
Konfigurirajte požarni zid, da bo omogočal naslednje povezave za aplikacije HDS:
Aplikacija | Protokol | Pristanišče | Smer iz App | Destinacija |
---|---|---|---|---|
Hibridna varnostna vozlišča podatkov | TCP | 443 | Odhodni HTTPS in WSS |
|
Orodje za nastavitev HDS | TCP | 443 | Odhodni HTTPS |
|
Vozlišča Hybrid Data Security delujejo s prevajanjem omrežnega dostopa (NAT) ali za požarnim zidom, če NAT ali požarni zid omogoča zahtevane odhodne povezave do ciljev domene v prejšnji tabeli. Za povezave, ki potekajo vhodno do vozlišč Hybrid Data Security, iz interneta ne smejo biti vidna nobena vrata. V vašem podatkovnem centru odjemalci potrebujejo dostop do vozlišč Hybrid Data Security na vratih TCP 443 in 22 za administrativne namene. |
URL-ji za gostitelje skupne identitete (CI) so specifični za regijo. To so trenutni gostitelji CI:
Regija | URL-ji gostitelja skupne identitete |
---|---|
Amerike |
|
Evropska unija |
|
Kanada |
|
Zahteve za strežnik proxy
Uradno podpiramo naslednje rešitve proxy, ki se lahko integrirajo z vašimi vozlišči Hybrid Data Security.
Transparent proxy—Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice (wss:) povezave. Če se želite izogniti tej težavi, glejte Konfigurirajte posrednike Squid za hibridno varnost podatkov.
Podpiramo naslednje kombinacije vrst preverjanja pristnosti za eksplicitne posrednike:
Ni avtentikacije s HTTP ali HTTPS
Osnovna avtentikacija s HTTP ali HTTPS
Pregled pristnosti samo s HTTPS
Za proxy proxy za pregledovanje ali eksplicitni proxy HTTPS morate imeti kopijo korenskega potrdila proxyja. Navodila za uvajanje v tem priročniku vam povejo, kako naložite kopijo v skrbniške shrambe vozlišč Hybrid Data Security.
Omrežje, ki gosti vozlišča HDS, mora biti konfigurirano tako, da prisili izhodni promet TCP na vratih 443, da se usmeri prek proxyja.
Posredniki, ki pregledujejo spletni promet, lahko motijo povezave s spletnimi vtičnicami. Če pride do te težave, obide (brez pregleda) promet do
wbx2.com
inciscospark.com
bo rešil problem.
Izpolnite predpogoje za hibridno varnost podatkov
1 | Prepričajte se, da je vaša organizacija Webex omogočena za Pro Pack za Cisco Webex Control Hub in pridobite poverilnice računa s polnimi skrbniškimi pravicami organizacije. Za pomoč pri tem postopku se obrnite na svojega Ciscovega partnerja ali upravitelja računa. | ||
2 | Izberite ime domene za svojo uvedbo HDS (npr. | ||
3 | Pripravite enake navidezne gostitelje, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči. Potrebujete vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru, ki izpolnjujeta zahteve v Zahteve za virtualnega gostitelja. | ||
4 | Pripravite strežnik baze podatkov, ki bo deloval kot shramba ključnih podatkov za gručo, v skladu z Zahteve za strežnik baze podatkov. Strežnik baze podatkov mora biti nameščen v varnem podatkovnem centru skupaj z virtualnimi gostitelji. | ||
5 | Za hitro obnovitev po katastrofi nastavite varnostno okolje v drugem podatkovnem centru. Okolje za varnostno kopiranje zrcali produkcijsko okolje navideznih strojev in strežnik baze podatkov za varnostno kopiranje. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. | ||
6 | Nastavite gostitelja sistemskega dnevnika za zbiranje dnevnikov iz vozlišč v gruči. Zberite njegov omrežni naslov in vrata sistemskega dnevnika (privzeto je UDP 514). | ||
7 | Ustvarite politiko varnega varnostnega kopiranja za vozlišča Hybrid Data Security, strežnik baze podatkov in gostitelja sistemskega dnevnika. Če želite preprečiti nepopravljivo izgubo podatkov, morate najmanj varnostno kopirati bazo podatkov in konfiguracijsko datoteko ISO, ustvarjeno za vozlišča Hybrid Data Security.
Odjemalci aplikacije Webex shranjujejo svoje ključe v predpomnilnik, zato izpad morda ne bo takoj opazen, vendar bo sčasoma očiten. Čeprav je začasnih izpadov nemogoče preprečiti, jih je mogoče obnoviti. Vendar bo popolna izguba (razpoložljivih varnostnih kopij) baze podatkov ali konfiguracijske datoteke ISO povzročila nepopravljivost podatkov o strankah. Od operaterjev vozlišč Hybrid Data Security se pričakuje, da bodo vzdrževali pogoste varnostne kopije baze podatkov in konfiguracijske datoteke ISO ter da bodo pripravljeni na ponovno izgradnjo podatkovnega centra Hybrid Data Security, če pride do katastrofalne okvare. | ||
8 | Zagotovite, da vaša konfiguracija požarnega zidu omogoča povezljivost za vozlišča Hybrid Data Security, kot je opisano v Zahteve za zunanjo povezljivost. | ||
9 | Namestite Docker ( https://www.docker.com) na katerem koli lokalnem računalniku s podprtim OS (Microsoft Windows 10 Professional ali Enterprise 64-bit ali Mac OSX Yosemite 10.10.3 ali novejši) s spletnim brskalnikom, ki lahko dostopa do njega na http://127.0.0.1:8080. Primerek Docker uporabite za prenos in zagon orodja za nastavitev HDS, ki gradi lokalne konfiguracijske informacije za vsa vozlišča Hybrid Data Security. Vaša organizacija morda potrebuje licenco Docker Desktop. glej Zahteve za namizje Docker za več informacij. Če želite namestiti in zagnati orodje za nastavitev HDS, mora imeti lokalni računalnik povezljivost, opisano v Zahteve za zunanjo povezljivost. | ||
10 | Če integrirate proxy s Hybrid Data Security, se prepričajte, da ustreza Zahteve za strežnik proxy. | ||
11 | Če vaša organizacija uporablja sinhronizacijo imenikov, ustvarite skupino v imeniku Active Directory, imenovano
|
Potek opravila uvajanja hibridne varnosti podatkov
Preden začneš
1 | Prenesite namestitvene datoteke Prenesite datoteko OVA na svoj lokalni računalnik za kasnejšo uporabo. | ||
2 | Ustvarite konfiguracijski ISO za gostitelje HDS Z orodjem za nastavitev HDS ustvarite konfiguracijsko datoteko ISO za vozlišča Hybrid Data Security. | ||
3 |
Ustvarite virtualni stroj iz datoteke OVA in izvedite začetno konfiguracijo, kot so omrežne nastavitve.
| ||
4 | Nastavite Hybrid Data Security VM Prijavite se v konzolo VM in nastavite poverilnice za prijavo. Konfigurirajte omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA. | ||
5 | Naložite in namestite ISO konfiguracije HDS Konfigurirajte VM iz konfiguracijske datoteke ISO, ki ste jo ustvarili z orodjem za namestitev HDS. | ||
6 | Konfigurirajte vozlišče HDS za integracijo posrednika Če omrežno okolje zahteva konfiguracijo proxyja, podajte vrsto proxyja, ki ga boste uporabili za vozlišče, in po potrebi dodajte potrdilo proxyja v shrambo zaupanja. | ||
7 | Registrirajte prvo vozlišče v gruči Registrirajte VM v oblaku Cisco Webex kot Hybrid Data Security node. | ||
8 | Ustvarite in registrirajte več vozlišč Dokončajte nastavitev gruče. | ||
9 | Izvedite preizkus in se premaknite v produkcijo (naslednje poglavje) Dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana. |
Prenesite namestitvene datoteke
1 | Prijavite se v https://admin.webex.comin nato kliknite Storitve. | ||||
2 | V razdelku Hybrid Services poiščite kartico Hybrid Data Security in kliknite Nastaviti. Če je kartica onemogočena ali je ne vidite, se obrnite na skupino za račun ali partnersko organizacijo. Dajte jim svojo številko računa in jih prosite, da vaši organizaciji omogočijo hibridno varnost podatkov. Če želite poiskati številko računa, kliknite zobnik v zgornjem desnem kotu poleg imena vaše organizacije.
| ||||
3 | Izberite št da označite, da vozlišča še niste nastavili, in nato kliknite Naslednji. Datoteka OVA se samodejno začne prenašati. Datoteko shranite na mesto v vašem računalniku.
| ||||
4 | Po želji kliknite Odprite vodnik za uvajanje da preverite, ali je na voljo novejša različica tega priročnika. |
Ustvarite konfiguracijski ISO za gostitelje HDS
Postopek nastavitve Hybrid Data Security ustvari datoteko ISO. Nato uporabite ISO za konfiguracijo gostitelja Hybrid Data Security.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v koraku 5. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska datoteka ISO, ki jo ustvarite, vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. Najnovejšo kopijo te datoteke potrebujete vsakič, ko spremenite konfiguracijo, kot je ta:
Poverilnice baze podatkov
Posodobitve potrdil
Spremembe politike avtorizacije
Če nameravate šifrirati povezave z bazo podatkov, nastavite svojo uvedbo PostgreSQL ali SQL Server za TLS.
1 | V ukazno vrstico vašega računalnika vnesite ustrezen ukaz za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
2 | Za vpis v register slik Docker vnesite naslednje:
| ||||||||||||
3 | Ob pozivu za geslo vnesite to zgoščeno vrednost:
| ||||||||||||
4 | Prenesite najnovejšo stabilno sliko za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
5 | Ko je vlečenje končano, vnesite ustrezen ukaz za vaše okolje:
Ko se vsebnik izvaja, vidite »Strežnik Express posluša na vratih 8080«. | ||||||||||||
6 |
Uporabite spletni brskalnik za dostop do lokalnega gostitelja, Orodje uporabi ta prvi vnos uporabniškega imena za nastavitev ustreznega okolja za ta račun. Orodje nato prikaže standardni poziv za prijavo. | ||||||||||||
7 | Ko ste pozvani, vnesite poverilnice za prijavo skrbnika stranke Control Hub in kliknite Vpiši se da omogočite dostop do zahtevanih storitev za Hybrid Data Security. | ||||||||||||
8 | Na strani s pregledom orodja za nastavitev kliknite Začeti. | ||||||||||||
9 | Na ISO uvoz strani, imate te možnosti:
| ||||||||||||
10 | Preverite, ali vaše potrdilo X.509 izpolnjuje zahteve v Zahteve za potrdilo X.509.
| ||||||||||||
11 | Vnesite naslov baze podatkov in račun za HDS za dostop do shrambe ključnih podatkov: | ||||||||||||
12 | Izberite a Način povezave z bazo podatkov TLS:
Ko naložite korensko potrdilo (če je potrebno) in kliknite Nadaljuj, orodje za nastavitev HDS preizkusi povezavo TLS s strežnikom baze podatkov. Orodje preveri tudi podpisnika potrdila in ime gostitelja, če je na voljo. Če preizkus ne uspe, orodje prikaže sporočilo o napaki, ki opisuje težavo. Izberete lahko, ali želite napako prezreti in nadaljevati z nastavitvijo. (Zaradi razlik v povezljivosti bodo vozlišča HDS morda lahko vzpostavila povezavo TLS, tudi če naprava z orodjem za nastavitev HDS tega ne more uspešno preizkusiti.) | ||||||||||||
13 | Na strani Sistemski dnevniki konfigurirajte strežnik Syslogd: | ||||||||||||
14 | (Izbirno) Spremenite lahko privzeto vrednost za nekatere parametre povezave z bazo podatkov v Napredne nastavitve. Na splošno je ta parameter edini, ki bi ga morda želeli spremeniti:
| ||||||||||||
15 | Kliknite Nadaljuj na Ponastavite geslo za storitvene račune zaslon. Gesla storitvenih računov imajo življenjsko dobo devet mesecev. Uporabite ta zaslon, ko se vaša gesla bližajo izteku ali jih želite ponastaviti, da razveljavi prejšnje datoteke ISO. | ||||||||||||
16 | Kliknite Prenesite datoteko ISO. Datoteko shranite na mesto, ki ga je enostavno najti. | ||||||||||||
17 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||||||||||||
18 | Če želite zaustaviti orodje za nastavitev, vnesite |
Kaj storiti naprej
Varnostno kopirajte konfiguracijsko datoteko ISO. Potrebujete ga za ustvarjanje več vozlišč za obnovitev ali za spreminjanje konfiguracije. Če izgubite vse kopije datoteke ISO, ste izgubili tudi glavni ključ. Obnovitev ključev iz baze podatkov PostgreSQL ali Microsoft SQL Server ni mogoča.
Nikoli nimamo kopije tega ključa in vam ne moremo pomagati, če ga izgubite. |
Namestite HDS Host OVA
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v navideznega gostitelja ESXi. | ||||||
2 | Izberite mapa > Namestite predlogo OVF. | ||||||
3 | V čarovniku določite lokacijo datoteke OVA, ki ste jo prej prenesli, in nato kliknite Naslednji . | ||||||
4 | Na Izberite ime in mapo strani vnesite a Ime navideznega stroja za vozlišče (na primer "HDS_node_1"), izberite lokacijo, kjer je lahko uvedba vozlišča navideznega stroja, in nato kliknite Naslednji . | ||||||
5 | Na Izberite računalniški vir izberite ciljni računalniški vir in kliknite Naslednji . Zažene se preverjanje veljavnosti. Ko se konča, se prikažejo podrobnosti predloge. | ||||||
6 | Preverite podrobnosti predloge in kliknite Naslednji. | ||||||
7 | Če ste pozvani, da izberete konfiguracijo vira na Konfiguracija strani, kliknite 4 procesor in nato kliknite Naslednji . | ||||||
8 | Na Izberite shranjevanje strani, kliknite Naslednji da sprejmete privzeti format diska in politiko shranjevanja VM. | ||||||
9 | Na Izberite omrežja izberite omrežno možnost s seznama vnosov, da zagotovite želeno povezljivost z VM. | ||||||
10 | Na Prilagodite predlogo strani, konfigurirajte naslednje omrežne nastavitve:
Če želite, lahko preskočite konfiguracijo omrežnih nastavitev in sledite korakom v Nastavite Hybrid Data Security VM da konfigurirate nastavitve iz konzole vozlišča.
| ||||||
11 | Z desno miškino tipko kliknite vozlišče VM in nato izberite .Programska oprema Hybrid Data Security je nameščena kot gost na gostitelju VM. Zdaj ste pripravljeni, da se prijavite v konzolo in konfigurirate vozlišče. Nasveti za odpravljanje težav Preden se vsebniki vozlišč prikažejo, lahko pride do nekajminutne zamude. Med prvim zagonom se na konzoli pojavi sporočilo mostnega požarnega zidu, med katerim se ne morete prijaviti. |
Nastavite Hybrid Data Security VM
S tem postopkom se prvič prijavite v konzolo VM vozlišča Hybrid Data Security in nastavite poverilnice za prijavo. S konzolo lahko konfigurirate tudi omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA.
1 | V odjemalcu VMware vSphere izberite VM vozlišča Hybrid Data Security in izberite Konzola zavihek. VM se zažene in prikaže se poziv za prijavo. Če se poziv za prijavo ne prikaže, pritisnite Vnesite.
|
2 | Za prijavo in spremembo poverilnic uporabite naslednjo privzeto prijavo in geslo: Ker se v svoj VM vpisujete prvič, morate spremeniti skrbniško geslo. |
3 | Če ste že konfigurirali omrežne nastavitve v Namestite HDS Host OVA, preskočite preostanek tega postopka. V nasprotnem primeru v glavnem meniju izberite Uredi konfiguracijo možnost. |
4 | Nastavite statično konfiguracijo z informacijami o naslovu IP, maski, prehodu in DNS. Vaše vozlišče mora imeti notranji naslov IP in ime DNS. DHCP ni podprt. |
5 | (Izbirno) Spremenite ime gostitelja, domeno ali strežnike NTP, če je potrebno, da se ujemajo z vašo omrežno politiko. Ni vam treba nastaviti domene, da se ujema z domeno, ki ste jo uporabili za pridobitev potrdila X.509. |
6 | Shranite omrežno konfiguracijo in znova zaženite VM, da bodo spremembe začele veljati. |
Naložite in namestite ISO konfiguracije HDS
Preden začneš
Ker datoteka ISO vsebuje glavni ključ, jo je treba razkriti samo na podlagi "potrebe vedeti" za dostop navideznih računalnikov Hybrid Data Security in vseh skrbnikov, ki bodo morda morali narediti spremembe. Prepričajte se, da imajo samo ti skrbniki dostop do shrambe podatkov.
1 | Naložite datoteko ISO iz računalnika: |
2 | Namestite datoteko ISO: |
Kaj storiti naprej
Če vaša politika IT zahteva, lahko po želji odklopite datoteko ISO, potem ko vsa vaša vozlišča prevzamejo spremembe konfiguracije. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti.
Konfigurirajte vozlišče HDS za integracijo posrednika
Če omrežno okolje zahteva proxy, s tem postopkom določite vrsto proxyja, s katerim se želite integrirati Hibridna varnost podatkov. Če izberete proxy proxy za pregledovanje ali eksplicitni proxy HTTPS, lahko uporabite vmesnik vozlišča za nalaganje in namestitev korenskega potrdila. Povezavo proxy lahko preverite tudi prek vmesnika in odpravite morebitne težave.
Preden začneš
glej Podpora za proxy za pregled podprtih možnosti proxyja.
1 | Vnesite URL za nastavitev vozlišča HDS |
2 | Pojdi do Trust Store & Proxyin nato izberite možnost:
Sledite naslednjim korakom za pregleden proxy za pregledovanje, eksplicitni proxy HTTP z osnovnim preverjanjem pristnosti ali eksplicitni proxy HTTPS. |
3 | Kliknite Naložite korensko potrdilo ali potrdilo končne entitete, nato pa se pomaknite do izbire korenskega potrdila za proxy. Potrdilo je naloženo, vendar še ni nameščeno, ker morate za namestitev potrdila znova zagnati vozlišče. Kliknite puščico ševrona ob imenu izdajatelja potrdila, da dobite več podrobnosti ali kliknite Izbriši če ste se zmotili in želite znova naložiti datoteko. |
4 | Kliknite Preverite povezavo proxy da preizkusite omrežno povezljivost med vozliščem in posrednikom. Če preizkus povezave ne uspe, boste videli sporočilo o napaki, ki prikazuje razlog in kako lahko odpravite težavo. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS. Ta pogoj je pričakovan v številnih eksplicitnih konfiguracijah proxyja. Lahko nadaljujete z nastavitvijo in vozlišče bo delovalo v načinu blokirane zunanje ločljivosti DNS. Če menite, da je to napaka, dokončajte te korake in si oglejte Izklopite način razreševanja blokiranega zunanjega DNS-ja. |
5 | Ko je preskus povezave uspešen, za eksplicitni proxy, nastavljen samo na https, preklopite stikalo na Usmerite vse https zahteve vrat 443/444 iz tega vozlišča prek eksplicitnega proxyja. Ta nastavitev začne veljati po 15 sekundah. |
6 | Kliknite Namestite vsa potrdila v Trust Store (prikaže se za eksplicitni proxy HTTPS ali pregledni proxy za preverjanje) ali Znova zaženite (prikaže se za eksplicitni proxy HTTP), preberite poziv in kliknite Namestite če si pripravljen. Vozlišče se znova zažene v nekaj minutah. |
7 | Ko se vozlišče znova zažene, se po potrebi znova vpišite in nato odprite Pregled strani, da preverite preverjanja povezljivosti in se prepričate, ali so vsi v zelenem stanju. Preverjanje povezave posrednika testira samo poddomeno webex.com. Če pride do težav s povezljivostjo, je pogosta težava, da so nekatere domene v oblaku, navedene v navodilih za namestitev, blokirane na strežniku proxy. |
Registrirajte prvo vozlišče v gruči
Ko registrirate svoje prvo vozlišče, ustvarite gručo, ki ji je vozlišče dodeljeno. Grozd vsebuje eno ali več vozlišč, nameščenih za zagotavljanje redundance.
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Prijavite se v https://admin.webex.com. |
2 | V meniju na levi strani zaslona izberite Storitve. |
3 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite Nastaviti. Prikaže se stran Register Hybrid Data Security Node.
|
4 | Izberite ja da označite, da ste nastavili vozlišče in ste ga pripravljeni registrirati, in nato kliknite Naslednji. |
5 | V prvo polje vnesite ime za gručo, ki ji želite dodeliti vozlišče Hybrid Data Security. Priporočamo, da gručo poimenujete glede na to, kje se geografsko nahajajo vozlišča gruče. Primeri: "San Francisco" ali "New York" ali "Dallas" |
6 | V drugo polje vnesite notranji naslov IP ali popolnoma kvalificirano ime domene (FQDN) svojega vozlišča in kliknite Naslednji. Ta naslov IP ali FQDN se mora ujemati z naslovom IP ali imenom gostitelja in domeno, ki ste jo uporabili Nastavite Hybrid Data Security VM. Prikaže se sporočilo, ki nakazuje, da lahko svoje vozlišče registrirate v Webex.
|
7 | Kliknite Pojdite na Node. |
8 | Kliknite Nadaljuj v opozorilnem sporočilu. Po nekaj trenutkih ste preusmerjeni na teste povezljivosti vozlišča za storitve Webex. Če so vsi preizkusi uspešni, se prikaže stran Dovoli dostop do vozlišča Hybrid Data Security Node. Tam potrdite, da želite svoji organizaciji Webex dati dovoljenja za dostop do vašega vozlišča.
|
9 | Preverite Dovolite dostop do vašega vozlišča Hybrid Data Security Node potrditveno polje in nato kliknite Nadaljuj. Vaš račun je potrjen in sporočilo »Registracija je dokončana« nakazuje, da je vaše vozlišče zdaj registrirano v oblaku Webex.
|
10 | Kliknite povezavo ali zaprite zavihek, da se vrnete na stran Hybrid Data Security Control Hub. Na Hibridna varnost podatkov stran, se prikaže nova gruča, ki vsebuje vozlišče, ki ste ga registrirali. Vozlišče bo samodejno preneslo najnovejšo programsko opremo iz oblaka.
|
Ustvarite in registrirajte več vozlišč
Trenutno so varnostni VM-ji, ki ste jih ustvarili v Izpolnite predpogoje za hibridno varnost podatkov so gostitelji v pripravljenosti, ki se uporabljajo samo v primeru obnovitve po katastrofi; do takrat niso registrirani v sistemu. Za podrobnosti glejte Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti. |
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Ustvarite nov virtualni stroj iz OVA in ponovite korake Namestite HDS Host OVA. |
2 | Nastavite začetno konfiguracijo na novem VM in ponovite korake v Nastavite Hybrid Data Security VM. |
3 | Na novem VM ponovite korake v Naložite in namestite ISO konfiguracije HDS. |
4 | Če nastavljate proxy za svojo uvedbo, ponovite korake v Konfigurirajte vozlišče HDS za integracijo posrednika kot je potrebno za novo vozlišče. |
5 | Registrirajte vozlišče. Vaše vozlišče je registrirano. Upoštevajte, da dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana.
|
Kaj storiti naprej
Potek naloge od poskusa do proizvodnje
Ko nastavite gručo Hybrid Data Security, lahko zaženete pilotni projekt, vanj dodate uporabnike in ga začnete uporabljati za preizkušanje in preverjanje vaše uvedbe v pripravah na selitev v proizvodnjo.
Preden začneš
1 | Če je primerno, sinhronizirajte Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati |
2 |
Začni poskus. Dokler ne opravite te naloge, vaša vozlišča ustvarijo alarm, ki nakazuje, da storitev še ni aktivirana. |
3 | Preizkusite svojo hibridno uvedbo varnosti podatkov Preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
4 | Spremljajte varnost hibridnih podatkov Preverite stanje in nastavite e-poštna obvestila za alarme. |
5 | |
6 | Dokončajte preskusno fazo z enim od naslednjih dejanj: |
Aktiviraj preizkus
Preden začneš
Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati HdsTrialGroup
predmet skupine za sinhronizacijo z oblakom, preden lahko začnete preskusno obdobje za svojo organizacijo. Za navodila glejte Vodnik za uvajanje za Cisco Directory Connector.
1 | Prijavite se v https://admin.webex.comin nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Začni preizkus. Stanje storitve se spremeni v poskusni način.
|
4 | Kliknite Dodajanje uporabnikov in vnesite e-poštni naslov enega ali več uporabnikov za poskusno uporabo vozlišč Hybrid Data Security za storitve šifriranja in indeksiranja. (Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory za upravljanje poskusne skupine, |
Preizkusite svojo hibridno uvedbo varnosti podatkov
Preden začneš
Nastavite svojo uvedbo Hybrid Data Security.
Aktivirajte preskusno različico in dodajte več poskusnih uporabnikov.
Prepričajte se, da imate dostop do sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security.
1 | Ključe za določen prostor nastavi ustvarjalec prostora. Prijavite se v aplikacijo Webex kot eden od pilotnih uporabnikov, nato pa ustvarite prostor in povabite vsaj enega pilotnega uporabnika in enega nepilotnega uporabnika.
| ||
2 | Pošljite sporočila v novi prostor. | ||
3 | Preverite izhod sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
Spremljajte varnost hibridnih podatkov
1 | notri Nadzorno središče, izberite Storitve iz menija na levi strani zaslona. |
2 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite nastavitve. Prikaže se stran z nastavitvami hibridne varnosti podatkov.
|
3 | V razdelku E-poštna obvestila vnesite enega ali več e-poštnih naslovov, ločenih z vejicami, in pritisnite Vnesite. |
Dodajte ali odstranite uporabnike iz svojega preizkusa
Če odstranite uporabnika iz preizkusa, bo uporabnikov odjemalec zahteval ključe in ustvarjanje ključa iz oblaka KMS namesto vašega KMS. Če odjemalec potrebuje ključ, ki je shranjen na vašem KMS, ga bo KMS v oblaku pridobil v imenu uporabnika.
Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory (namesto tega postopka) za upravljanje poskusne skupine, HdsTrialGroup
; člane skupine si lahko ogledate v Nadzornem središču, vendar jih ne morete dodati ali odstraniti.
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Preizkusni način v območju Stanje storitve kliknite Dodajanje uporabnikov, ali kliknite ogled in urejanje za odstranitev uporabnikov iz preizkusa. |
4 | Vnesite e-poštni naslov enega ali več uporabnikov, ki jih želite dodati, ali kliknite X z ID-jem uporabnika, da uporabnika odstranite iz preizkusa. Nato kliknite Shrani. |
Premaknite se s preskusne različice na produkcijsko
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Premakni se v proizvodnjo. |
4 | Potrdite, da želite vse svoje uporabnike premakniti v produkcijo. |
Končajte preizkus, ne da bi se preselili v proizvodnjo
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Deaktiviraj kliknite Deaktiviraj. |
4 | Potrdite, da želite deaktivirati storitev in končati preskusno obdobje. |
Upravljanje uvajanja HDS
Uporabite tukaj opisane naloge za upravljanje svoje razmestitve Hybrid Data Security.
Nastavite urnik nadgradnje gruče
Če želite nastaviti urnik nadgradnje:
1 | Prijavite se v Nadzorno središče. |
2 | Na strani Pregled v razdelku Hibridne storitve izberite Hibridna varnost podatkov. |
3 | Na strani Viri za varnost hibridnih podatkov izberite gručo. |
4 | Na plošči Pregled na desni v razdelku Nastavitve gruče izberite ime gruče. |
5 | Na strani z nastavitvami v razdelku Nadgradnja izberite čas in časovni pas za urnik nadgradnje. Opomba: Pod časovnim pasom sta prikazana datum in čas naslednje razpoložljive nadgradnje. Nadgradnjo lahko po potrebi prestavite na naslednji dan s klikom Odložiti. |
Spremenite konfiguracijo vozlišča
Spreminjanje potrdil x.509 zaradi poteka veljavnosti ali drugih razlogov.
Ne podpiramo spreminjanja imena domene CN potrdila. Domena se mora ujemati z izvirno domeno, uporabljeno za registracijo gruče.
Posodabljanje nastavitev baze podatkov za spremembo v repliko baze podatkov PostgreSQL ali Microsoft SQL Server.
Ne podpiramo selitve podatkov iz PostgreSQL v Microsoft SQL Server ali obratno. Če želite preklopiti okolje baze podatkov, začnite novo uvedbo Hybrid Data Security.
Ustvarjanje nove konfiguracije za pripravo novega podatkovnega centra.
Poleg tega za varnostne namene Hybrid Data Security uporablja gesla storitvenih računov, ki imajo devetmesečno življenjsko dobo. Ko orodje HDS Setup ustvari ta gesla, jih namestite v vsako od svojih vozlišč HDS v konfiguracijski datoteki ISO. Ko se gesla vaše organizacije bližajo izteku, prejmete obvestilo ekipe Webex za ponastavitev gesla za vaš strojni račun. (E-poštno sporočilo vključuje besedilo »Uporabite API računa stroja za posodobitev gesla.«) Če vaša gesla še niso potekla, vam orodje ponuja dve možnosti:
Mehka ponastavitev— Staro in novo geslo delujeta do 10 dni. To obdobje uporabite za postopno zamenjavo datoteke ISO na vozliščih.
Trda ponastavitev— Stara gesla prenehajo delovati takoj.
Če vaša gesla potečejo brez ponastavitve, to vpliva na vašo storitev HDS, saj zahteva takojšnjo strojno ponastavitev in zamenjavo datoteke ISO na vseh vozliščih.
S tem postopkom ustvarite novo konfiguracijsko datoteko ISO in jo uporabite za vašo gručo.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v 1.e. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Za ustvarjanje nove konfiguracije potrebujete kopijo trenutne konfiguracijske datoteke ISO. ISO vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. ISO potrebujete, ko spreminjate konfiguracijo, vključno s poverilnicami baze podatkov, posodobitvami potrdil ali spremembami pravilnika avtorizacije.
1 | Z Dockerjem na lokalnem računalniku zaženite orodje za namestitev HDS. |
2 | Če imate samo eno vozlišče HDS, ustvarite nov VM vozlišča Hybrid Data Security in ga registrirajte z novo konfiguracijsko datoteko ISO. Za podrobnejša navodila glejte Ustvarite in registrirajte več vozlišč. |
3 | Za obstoječa vozlišča HDS, ki izvajajo starejšo konfiguracijsko datoteko, namestite datoteko ISO. Izvedite naslednji postopek na vsakem vozlišču po vrsti in posodobite vsako vozlišče, preden izklopite naslednje vozlišče: |
4 | Ponovite 3. korak, da zamenjate konfiguracijo na vsakem preostalem vozlišču, ki izvaja staro konfiguracijo. |
Izklopite način razreševanja blokiranega zunanjega DNS-ja
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Če strežnik DNS vozlišča ne more razrešiti javnih imen DNS, vozlišče samodejno preide v način blokiranega zunanjega razreševanja DNS.
Če lahko vaša vozlišča razrešijo javna imena DNS prek notranjih strežnikov DNS, lahko ta način izklopite tako, da na vsakem vozlišču znova zaženete preskus povezave proxy.
Preden začneš
1 | V spletnem brskalniku odprite vmesnik vozlišča Hybrid Data Security (naslov IP/nastavitev, npr. https://192.0.2.0/setup), vnesite skrbniške poverilnice, ki ste jih nastavili za vozlišče, in nato kliknite Prijava. |
2 | Pojdi do Pregled (privzeta stran). Ko je omogočeno, Blokirana zunanja razrešitev DNS je nastavljeno na ja. |
3 | Pojdi na Trust Store & Proxy strani. |
4 | Kliknite Preverite povezavo proxy. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS in bo ostalo v tem načinu. V nasprotnem primeru, ko znova zaženete vozlišče in se vrnete na Pregled stran, Blokirana zunanja DNS resolucija mora biti nastavljena na št. |
Kaj storiti naprej
Odstranite vozlišče
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v virtualni gostitelj ESXi in izklopite virtualni stroj. |
2 | Odstranite vozlišče: |
3 | V odjemalcu vSphere izbrišite VM. (V levem podoknu za krmarjenje z desno miškino tipko kliknite VM in kliknite Izbriši.) Če VM ne izbrišete, ne pozabite odklopiti konfiguracijske datoteke ISO. Brez datoteke ISO ne morete uporabljati VM za dostop do svojih varnostnih podatkov. |
Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti
Najbolj kritična storitev, ki jo nudi vaša gruča Hybrid Data Security, je ustvarjanje in shranjevanje ključev, ki se uporabljajo za šifriranje sporočil in druge vsebine, shranjene v oblaku Webex. Za vsakega uporabnika v organizaciji, ki je dodeljen Hybrid Data Security, so nove zahteve za ustvarjanje ključev usmerjene v gručo. Grozd je odgovoren tudi za vrnitev ključev, ki jih je ustvaril vsem uporabnikom, ki so pooblaščeni, da jih pridobijo, na primer članom prostora za pogovor.
Ker gruča opravlja kritično funkcijo zagotavljanja teh ključev, je nujno, da gruča še naprej deluje in da se vzdržujejo ustrezne varnostne kopije. Izguba podatkovne baze Hybrid Data Security ali konfiguracijskega ISO, ki se uporablja za shemo, bo povzročila NEPODOLČLJIVO IZGUBO vsebine stranke. Naslednje prakse so obvezne za preprečitev takšne izgube:
Če katastrofa povzroči, da uvedba HDS v primarnem podatkovnem centru postane nerazpoložljiva, sledite temu postopku za ročni samodejni preklop v rezervni podatkovni center.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve stran, dodajte spodnjo konfiguracijo ali odstranite
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
(Izbirno) Odpni ISO po konfiguraciji HDS
Standardna konfiguracija HDS deluje z nameščenim ISO. Toda nekatere stranke raje ne puščajo datotek ISO neprekinjeno nameščenih. Datoteko ISO lahko odklopite, ko vsa vozlišča HDS prevzamejo novo konfiguracijo.
Za spreminjanje konfiguracije še vedno uporabljate datoteke ISO. Ko ustvarite nov ISO ali posodobite ISO prek orodja za nastavitev, morate posodobljeni ISO namestiti na vsa vozlišča HDS. Ko so vsa vaša vozlišča prevzela konfiguracijske spremembe, lahko s tem postopkom znova odklopite ISO.
Preden začneš
Nadgradite vsa svoja vozlišča HDS na različico 2021.01.22.4720 ali novejšo.
1 | Zaustavite eno od vozlišč HDS. |
2 | V strežniški napravi vCenter izberite vozlišče HDS. |
3 | Izberite Datoteka ISO za shranjevanje podatkov. in odkljukajte |
4 | Vklopite vozlišče HDS in zagotovite, da vsaj 20 minut ni alarmov. |
5 | Ponovite za vsako vozlišče HDS po vrsti. |
Ogled opozoril in odpravljanje težav
Uvedba hibridne varnosti podatkov se šteje za nerazpoložljivo, če so vsa vozlišča v gruči nedosegljiva ali če gruča deluje tako počasi, da zahteva preteče čas. Če uporabniki ne morejo doseči vaše gruče Hybrid Data Security, se pojavijo naslednji simptomi:
Novih prostorov ni mogoče ustvariti (ni mogoče ustvariti novih ključev)
Sporočil in naslovov prostorov ni mogoče dešifrirati za:
Novi uporabniki dodani v prostor (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru, ki uporabljajo novega odjemalca (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru bodo še naprej uspešno delovali, dokler imajo njihovi odjemalci predpomnilnik šifrirnih ključev
Pomembno je, da pravilno spremljate svojo gručo Hybrid Data Security in nemudoma obravnavate vsa opozorila, da preprečite motnje storitve.
Opozorila
Če pride do težave z nastavitvijo Hybrid Data Security, Control Hub prikaže opozorila skrbniku organizacije in pošlje e-pošto na konfigurirani e-poštni naslov. Opozorila zajemajo številne pogoste scenarije.
Opozorilo | Akcija |
---|---|
Napaka pri dostopu do lokalne baze podatkov. |
Preverite napake baze podatkov ali težave z lokalnim omrežjem. |
Napaka povezave z lokalno bazo podatkov. |
Preverite, ali je strežnik baze podatkov na voljo in ali so bile v konfiguraciji vozlišča uporabljene prave poverilnice storitvenega računa. |
Napaka pri dostopu do storitve v oblaku. |
Preverite, ali lahko vozlišča dostopajo do strežnikov Webex, kot je določeno v Zahteve za zunanjo povezljivost. |
Podaljšanje registracije storitve v oblaku. |
Registracija v storitvah v oblaku je bila opuščena. Podaljšanje registracije je v teku. |
Registracija storitve v oblaku je padla. |
Registracija v storitve v oblaku je prekinjena. Storitev se zapira. |
Storitev še ni aktivirana. |
Aktivirajte preskusno različico ali dokončajte premik preizkusne različice v produkcijo. |
Konfigurirana domena se ne ujema s potrdilom strežnika. |
Prepričajte se, da se vaše potrdilo strežnika ujema s konfigurirano domeno za aktiviranje storitve. Najverjetnejši vzrok je, da je bilo potrdilo CN nedavno spremenjeno in se zdaj razlikuje od CN, ki je bilo uporabljeno med prvotno nastavitvijo. |
Preverjanje pristnosti v storitvah v oblaku ni uspelo. |
Preverite točnost in morebiten potek poverilnic storitvenega računa. |
Lokalne datoteke shrambe ključev ni bilo mogoče odpreti. |
Preverite celovitost in točnost gesla v datoteki lokalne shrambe ključev. |
Potrdilo lokalnega strežnika ni veljavno. |
Preverite datum veljavnosti strežniškega potrdila in potrdite, da ga je izdal zaupanja vreden overitelj potrdil. |
Ni mogoče objaviti meritev. |
Preverite dostop lokalnega omrežja do zunanjih storitev v oblaku. |
Imenik /media/configdrive/hds ne obstaja. |
Preverite konfiguracijo namestitve ISO na virtualnem gostitelju. Preverite, ali datoteka ISO obstaja, ali je konfigurirana za namestitev ob ponovnem zagonu in ali je uspešno nameščena. |
Odpravljanje težav s hibridno varnostjo podatkov
1 | Preglejte Control Hub za vsa opozorila in popravite vse elemente, ki jih najdete tam. |
2 | Preglejte izhod strežnika syslog za dejavnost razmestitve Hybrid Data Security. |
3 | Kontakt Cisco podpora. |
Znane težave pri hibridni varnosti podatkov
Če zaustavite svojo gručo Hybrid Data Security (tako da jo izbrišete v Control Hubu ali tako, da zaustavite vsa vozlišča), izgubite konfiguracijsko datoteko ISO ali izgubite dostop do baze podatkov shrambe ključev, vaši uporabniki aplikacije Webex ne morejo več uporabljati prostorov pod svojimi Ljudje seznam, ki so bili ustvarjeni s ključi iz vašega KMS. To velja tako za poskusno kot za proizvodno uvedbo. Trenutno nimamo rešitve ali popravka za to težavo in vas pozivamo, da ne zaustavite storitev HDS, ko obravnavajo aktivne uporabniške račune.
Odjemalec, ki ima obstoječo povezavo ECDH s KMS, vzdržuje to povezavo nekaj časa (verjetno eno uro). Ko uporabnik postane član preskusne različice Hybrid Data Security, uporabnikov odjemalec nadaljuje z uporabo obstoječe povezave ECDH, dokler ne poteče čas. Druga možnost je, da se uporabnik odjavi in znova prijavi v aplikacijo Webex App, da posodobi lokacijo, s katero se aplikacija obrne za šifrirne ključe.
Enako vedenje se zgodi, ko preizkus premaknete v proizvodnjo za organizacijo. Vsi uporabniki brez preskusne različice z obstoječimi povezavami ECDH s prejšnjimi storitvami za varnost podatkov bodo še naprej uporabljali te storitve, dokler se povezava ECDH ponovno ne dogovori (prek časovne omejitve ali z odjavo in ponovnim vstopom).
Uporabite OpenSSL za ustvarjanje datoteke PKCS12
Preden začneš
OpenSSL je eno orodje, ki ga lahko uporabite za izdelavo datoteke PKCS12 v ustreznem formatu za nalaganje v orodju za nastavitev HDS. Obstajajo drugi načini za to in ne podpiramo ali spodbujamo enega načina namesto drugega.
Če se odločite za uporabo OpenSSL, ponujamo ta postopek kot smernico za pomoč pri ustvarjanju datoteke, ki izpolnjuje zahteve potrdila X.509 v Zahteve za potrdilo X.509. Razumite te zahteve, preden nadaljujete.
Namestite OpenSSL v podprto okolje. glej https://www.openssl.org za programsko opremo in dokumentacijo.
Ustvari zasebni ključ.
Začnite ta postopek, ko prejmete strežniško potrdilo od svojega overitelja potrdil (CA).
1 | Ko prejmete strežniško potrdilo od službe za potrdila, ga shranite kot |
2 | Prikažite potrdilo kot besedilo in preverite podrobnosti.
|
3 | Z urejevalnikom besedila ustvarite datoteko svežnja potrdil, imenovano
|
4 | Ustvarite datoteko .p12 s prijaznim imenom
|
5 | Preverite podrobnosti potrdila strežnika. |
Kaj storiti naprej
Vrnitev na Izpolnite predpogoje za hibridno varnost podatkov. Uporabili boste hdsnode.p12
datoteko in geslo, ki ste ga nastavili zanjo, v Ustvarite konfiguracijski ISO za gostitelje HDS.
Te datoteke lahko znova uporabite za zahtevo po novem potrdilu, ko prvotno potrdilo poteče. |
Promet med vozlišči HDS in oblakom
Odhodni promet zbiranja meritev
Vozlišča Hybrid Data Security pošiljajo določene meritve v oblak Webex. Ti vključujejo sistemske meritve za največjo kopico, uporabljeno kopico, obremenitev procesorja in število niti; metrike sinhronih in asinhronih niti; meritve za opozorila, ki vključujejo prag šifrirnih povezav, zakasnitev ali dolžino čakalne vrste zahtev; metrike v shrambi podatkov; in meritve šifrirne povezave. Vozlišča pošiljajo šifrirano ključno gradivo prek zunajpasovnega (ločenega od zahteve) kanala.
Dohodni promet
Vozlišča Hybrid Data Security prejemajo naslednje vrste vhodnega prometa iz oblaka Webex:
Zahteve za šifriranje odjemalcev, ki jih usmeri šifrirna storitev
Nadgradnje programske opreme vozlišča
Konfigurirajte posrednike Squid za hibridno varnost podatkov
Websocket se ne more povezati prek proxyja Squid
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice ( wss:
) povezave, ki jih zahteva Hybrid Data Security. Ti razdelki dajejo navodila o tem, kako konfigurirati različne različice Squid za prezrtje wss:
prometa za pravilno delovanje storitev.
Lignji 4 in 5
Dodajte on_unsupported_protocol
direktiva za squid.conf
:
on_unsupported_protocol tunnel all
Lignji 3.5.27
Hibridno varnost podatkov smo uspešno preizkusili z dodanimi naslednjimi pravili squid.conf
. Ta pravila se lahko spremenijo, ko razvijamo funkcije in posodabljamo oblak Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Nove in spremenjene informacije
Datum | Izvedene spremembe | ||
---|---|---|---|
20. oktober 2023 |
| ||
7. avgust 2023 |
| ||
23. maj 2023 |
| ||
6. december 2022 |
| ||
23. november 2022 |
| ||
13. oktober 2021 | Docker Desktop mora zagnati namestitveni program, preden lahko namestite vozlišča HDS. glej Zahteve za namizje Docker. | ||
24. junij 2021 | Upoštevajte, da lahko znova uporabite datoteko zasebnega ključa in CSR, da zahtevate drugo potrdilo. glej Uporabite OpenSSL za ustvarjanje datoteke PKCS12 za podrobnosti. | ||
30. april 2021 | Zahteva VM za lokalni prostor na trdem disku je spremenjena na 30 GB. glej Zahteve za virtualnega gostitelja za podrobnosti. | ||
24. februar 2021 | Orodje za nastavitev HDS lahko zdaj deluje za posrednikom. glej Ustvarite konfiguracijski ISO za gostitelje HDS za podrobnosti. | ||
2. februar 2021 | HDS lahko zdaj deluje brez nameščene datoteke ISO. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti. | ||
11. januar 2021 | Dodane informacije o orodju za nastavitev HDS in proxyjih za Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
13. oktober 2020 | Posodobljeno Prenesite namestitvene datoteke. | ||
8. oktober 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča z ukazi za okolja FedRAMP. | ||
14. avgust 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča s spremembami postopka prijave. | ||
5. avgust 2020 | Posodobljeno Preizkusite svojo hibridno uvedbo varnosti podatkov za spremembe v dnevniških sporočilih. Posodobljeno Zahteve za virtualnega gostitelja da odstranite največje število gostiteljev. | ||
16. junij 2020 | Posodobljeno Odstranite vozlišče za spremembe v uporabniškem vmesniku Control Hub. | ||
4. junij 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS za spremembe v naprednih nastavitvah, ki jih lahko nastavite. | ||
29. maj 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS da pokažete, da lahko TLS uporabljate tudi z bazami podatkov SQL Server, spremembami uporabniškega vmesnika in drugimi pojasnili. | ||
5. maj 2020 | Posodobljeno Zahteve za virtualnega gostitelja za prikaz novih zahtev ESXi 6.5. | ||
21. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z novimi gostitelji CI Amerike. | ||
1. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z informacijami o regionalnih gostiteljih CI. | ||
20. februar 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS z informacijami o novem izbirnem zaslonu z naprednimi nastavitvami v orodju za nastavitev HDS. | ||
4. februar 2020 | Posodobljeno Zahteve za strežnik proxy. | ||
16. december 2019 | Pojasnjena je zahteva za delovanje v načinu blokiranega zunanjega razreševanja DNS Zahteve za strežnik proxy. | ||
19. november 2019 | Dodane informacije o načinu razreševanja blokiranega zunanjega DNS-ja v naslednjih razdelkih: | ||
8. november 2019 | Zdaj lahko konfigurirate omrežne nastavitve za vozlišče med uvajanjem OVA in ne pozneje. Ustrezno posodobljeni naslednji razdelki:
| ||
6. september 2019 | Dodan SQL Server Standard Zahteve za strežnik baze podatkov. | ||
29. avgust 2019 | Dodano Konfigurirajte posrednike Squid za hibridno varnost podatkov dodatek z navodili za konfiguriranje proxyjev Squid, da za pravilno delovanje prezrejo promet spletnih vtičnic. | ||
20. avgust 2019 | Dodani in posodobljeni razdelki za pokrivanje podpore posrednika za komunikacije vozlišča Hybrid Data Security z oblakom Webex. Za dostop samo do podporne vsebine proxyja za obstoječo uvedbo glejte Proxy podpora za Hybrid Data Security in Webex Video Mesh članek za pomoč. | ||
13. junij 2019 | Posodobljeno Potek naloge od preizkusa do proizvodnje z opomnikom za sinhronizacijo HdsTrialGroup predmet skupine pred začetkom preizkusa, če vaša organizacija uporablja sinhronizacijo imenikov. | ||
6. marec 2019 |
| ||
28. februar 2019 |
| ||
26. februar 2019 |
| ||
24. januar 2019 |
| ||
5. november 2018 |
| ||
19. oktober 2018 |
| ||
31. julij 2018 |
| ||
21. maj 2018 | Spremenjena terminologija, ki odraža preimenovanje Cisco Spark:
| ||
11. april 2018 |
| ||
22. februar 2018 |
| ||
15. februar 2018 |
| ||
18. januar 2018 |
| ||
2. november 2017 |
| ||
18. avgust 2017 | Prvič objavljeno |
Pregled varnosti hibridnih podatkov
Od prvega dne je bila varnost podatkov glavni poudarek pri oblikovanju Aplikacija Webex. Temelj te varnosti je šifriranje vsebine od konca do konca, ki ga omogoča Aplikacija Webex stranke, ki komunicirajo s storitvijo upravljanja ključev (KMS). KMS je odgovoren za ustvarjanje in upravljanje kriptografskih ključev, ki jih stranke uporabljajo za dinamično šifriranje in dešifriranje sporočil in datotek.
Privzeto vse Aplikacija Webex stranke dobijo šifriranje od konca do konca z dinamičnimi ključi, shranjenimi v oblaku KMS, v Ciscovem varnostnem področju. Hybrid Data Security premakne KMS in druge funkcije, povezane z varnostjo, v podatkovni center vašega podjetja, tako da nihče drug kot vi nima ključev do vaše šifrirane vsebine.
Arhitektura varnostnega področja
Arhitektura oblaka Webex ločuje različne vrste storitev v ločena področja ali domene zaupanja, kot je prikazano spodaj.
Za nadaljnje razumevanje hibridne varnosti podatkov si najprej oglejmo ta čisti oblak, kjer Cisco zagotavlja vse funkcije v svojem oblaku. Storitev identitete, edino mesto, kjer so uporabniki lahko neposredno povezani z njihovimi osebnimi podatki, kot je e-poštni naslov, je logično in fizično ločena od varnostnega področja v podatkovnem centru B. Oboje je ločeno od področja, kjer je na koncu shranjena šifrirana vsebina. , v podatkovnem centru C.
V tem diagramu je odjemalec aplikacija Webex, ki se izvaja na prenosnem računalniku uporabnika in je bila overjena s storitvijo identitete. Ko uporabnik sestavi sporočilo za pošiljanje v prostor, potekajo naslednji koraki:
Odjemalec vzpostavi varno povezavo s storitvijo za upravljanje ključev (KMS), nato pa zahteva ključ za šifriranje sporočila. Varna povezava uporablja ECDH, KMS pa šifrira ključ z glavnim ključem AES-256.
Sporočilo je šifrirano, preden zapusti odjemalca. Odjemalec ga pošlje storitvi indeksiranja, ki ustvari šifrirane iskalne indekse za pomoč pri prihodnjih iskanjih vsebine.
Šifrirano sporočilo je poslano storitvi skladnosti za preverjanje skladnosti.
Šifrirano sporočilo je shranjeno v območju shranjevanja.
Ko uvedete Hybrid Data Security, premaknete funkcije varnostnega področja (KMS, indeksiranje in skladnost) v vaš lokalni podatkovni center. Druge storitve v oblaku, ki sestavljajo Webex (vključno s shranjevanjem identitete in vsebine), ostajajo v domeni Cisca.
Sodelovanje z drugimi organizacijami
Uporabniki v vaši organizaciji lahko redno uporabljajo aplikacijo Webex za sodelovanje z zunanjimi udeleženci v drugih organizacijah. Ko eden od vaših uporabnikov zahteva ključ za prostor, ki je v lasti vaše organizacije (ker ga je ustvaril eden od vaših uporabnikov), vaš KMS pošlje ključ odjemalcu prek zaščitenega kanala ECDH. Ko pa ima druga organizacija ključ za prostor, vaš KMS usmeri zahtevo v oblak Webex prek ločenega kanala ECDH, da pridobi ključ od ustreznega KMS, in nato vrne ključ vašemu uporabniku na izvirnem kanalu.
Storitev KMS, ki se izvaja v organizaciji A, preverja povezave s KMS-ji v drugih organizacijah z uporabo potrdil x.509 PKI. glej Pripravite svoje okolje za podrobnosti o ustvarjanju potrdila x.509 za uporabo z vašo uvedbo Hybrid Data Security.
Pričakovanja glede uvajanja hibridne varnosti podatkov
Uvedba hibridne varnosti podatkov zahteva veliko predanost strank in zavedanje tveganj, ki jih prinaša posedovanje šifrirnih ključev.
Za uvedbo Hybrid Data Security morate zagotoviti:
Varen podatkovni center v državi, ki je a podprto lokacijo za načrte Cisco Webex Teams.
Oprema, programska oprema in dostop do omrežja, opisani v Pripravite svoje okolje.
Popolna izguba konfiguracije ISO, ki jo zgradite za Hybrid Data Security, ali baze podatkov, ki jo zagotovite, bo povzročila izgubo ključev. Izguba ključa uporabnikom prepreči dešifriranje prostorske vsebine in drugih šifriranih podatkov v aplikaciji Webex. Če se to zgodi, lahko zgradite novo uvedbo, vendar bo vidna samo nova vsebina. Da preprečite izgubo dostopa do podatkov, morate:
Upravljajte varnostno kopiranje in obnovitev baze podatkov in konfiguracije ISO.
Bodite pripravljeni izvesti hitro obnovitev po katastrofi, če pride do katastrofe, kot je okvara diska baze podatkov ali katastrofa podatkovnega centra.
Ni mehanizma za premik ključev nazaj v oblak po uvedbi HDS. |
Postopek namestitve na visoki ravni
Ta dokument pokriva nastavitev in upravljanje uvedbe Hybrid Data Security:
Nastavite hibridno varnost podatkov— To vključuje pripravo zahtevane infrastrukture in namestitev programske opreme Hybrid Data Security, testiranje vaše uvedbe s podnaborom uporabnikov v preskusnem načinu in, ko je vaše testiranje končano, premik v proizvodnjo. To pretvori celotno organizacijo v uporabo vaše Hybrid Data Security gruče za varnostne funkcije.
Faze nastavitve, preizkusa in proizvodnje so podrobno obravnavane v naslednjih treh poglavjih.
Ohranite svojo uvedbo Hybrid Data Security— Oblak Webex samodejno zagotavlja stalne nadgradnje. Vaš IT oddelek lahko zagotovi podporo prve stopnje za to uvedbo in po potrebi vključi podporo Cisco. V Control Hubu lahko uporabite obvestila na zaslonu in nastavite opozorila po e-pošti.
Razumevanje pogostih opozoril, korakov za odpravljanje težav in znanih težav—Če naletite na težave pri uvajanju ali uporabi Hybrid Data Security, vam lahko zadnje poglavje tega vodnika in dodatek Znane težave pomagata ugotoviti in odpraviti težavo.
Hibridni model uvajanja varnosti podatkov
Znotraj podatkovnega centra vašega podjetja namestite Hybrid Data Security kot eno samo gručo vozlišč na ločenih virtualnih gostiteljih. Vozlišča komunicirajo z oblakom Webex prek varnih spletnih vtičnic in varnega HTTP-ja.
Med postopkom namestitve vam zagotovimo datoteko OVA za nastavitev virtualne naprave na VM, ki jih zagotovite. Z orodjem za nastavitev HDS ustvarite datoteko ISO konfiguracije gruče po meri, ki jo namestite na vsako vozlišče. Grozd Hybrid Data Security uporablja strežnik Syslogd, ki ste ga zagotovili, in bazo podatkov PostgreSQL ali Microsoft SQL Server. (Syslogd in podrobnosti o povezavi baze podatkov konfigurirate v orodju za namestitev HDS.)
Najmanjše število vozlišč, ki jih lahko imate v gruči, sta dve. Priporočamo vsaj tri, lahko pa tudi do pet. Če imate več vozlišč, zagotovite, da storitev ni prekinjena med nadgradnjo programske opreme ali drugo vzdrževalno dejavnostjo na vozlišču. (Oblak Webex nadgrajuje samo eno vozlišče naenkrat.)
Vsa vozlišča v gruči dostopajo do iste shrambe ključnih podatkov in beležijo dejavnost v isti strežnik syslog. Sama vozlišča so brez stanja in obravnavajo ključne zahteve na krožni način, po navodilih oblaka.
Vozlišča postanejo aktivna, ko jih registrirate v Control Hub. Če želite posamezno vozlišče izključiti iz uporabe, ga lahko odjavite in pozneje po potrebi znova registrirate.
Podpiramo samo eno gručo na organizacijo.
Preizkusni način hibridne varnosti podatkov
Ko nastavite uvedbo Hybrid Data Security, jo najprej preizkusite z nizom pilotnih uporabnikov. Med preskusnim obdobjem ti uporabniki uporabljajo vašo domeno Hybrid Data Security na mestu uporabe za šifrirne ključe in druge storitve varnostnega področja. Vaši drugi uporabniki še naprej uporabljajo varnostno področje oblaka.
Če se med preskusnim obdobjem odločite, da ne boste nadaljevali z uvajanjem in deaktivirate storitev, bodo pilotni uporabniki in vsi uporabniki, s katerimi so sodelovali z ustvarjanjem novih prostorov med preskusnim obdobjem, izgubili dostop do sporočil in vsebine. V aplikaciji Webex bodo videli »Tega sporočila ni mogoče dešifrirati«.
Če ste zadovoljni, da vaša uvedba dobro deluje za preskusne uporabnike in ste pripravljeni razširiti Hybrid Data Security na vse svoje uporabnike, premaknite uvedbo v produkcijo. Pilotni uporabniki imajo še naprej dostop do ključev, ki so bili v uporabi med preskusom. Vendar se ne morete premikati naprej in nazaj med produkcijskim načinom in prvotnim preskusom. Če morate deaktivirati storitev, na primer za izvedbo obnovitve po katastrofi, morate ob ponovni aktivaciji začeti novo preskusno različico in nastaviti nabor pilotnih uporabnikov za novo preskusno različico, preden se premaknete nazaj v produkcijski način. Ali uporabniki obdržijo dostop do podatkov na tej točki, je odvisno od tega, ali ste uspešno vzdrževali varnostne kopije shrambe ključnih podatkov in konfiguracijske datoteke ISO za vozlišča Hybrid Data Security v vaši gruči.
Podatkovni center v pripravljenosti za obnovitev po katastrofi
Med uvajanjem nastavite varen podatkovni center v pripravljenosti. V primeru katastrofe v podatkovnem centru lahko ročno prekinete svojo uvedbo v podatkovni center v pripravljenosti.
Podatkovne baze aktivnega in rezervnega podatkovnega centra so med seboj sinhronizirane, kar bo zmanjšalo čas, potreben za izvedbo samodejnega preklopa. Datoteka ISO podatkovnega centra v pripravljenosti je posodobljena z dodatnimi konfiguracijami, ki zagotavljajo, da so vozlišča registrirana v organizaciji, vendar ne bodo obravnavala prometa. Tako so vozlišča podatkovnega centra v pripravljenosti vedno posodobljena z najnovejšo različico programske opreme HDS.
Aktivna vozlišča Hybrid Data Security morajo biti vedno v istem podatkovnem centru kot aktivni strežnik baze podatkov. |
Nastavite podatkovni center v pripravljenosti za obnovitev po katastrofi
Za konfiguracijo datoteke ISO podatkovnega centra v pripravljenosti sledite spodnjim korakom:
Preden začneš
Podatkovni center v pripravljenosti bi moral zrcaliti produkcijsko okolje navideznih strojev in rezervno bazo podatkov PostgreSQL ali Microsoft SQL Server. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. (Glej Podatkovni center v pripravljenosti za obnovitev po katastrofi za pregled tega modela samodejnega preklopa.)
Prepričajte se, da je omogočena sinhronizacija baze podatkov med bazo podatkov aktivnih in pasivnih vozlišč gruče.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS.
| ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve strani dodajte spodnjo konfiguracijo, da postavite vozlišče v pasivni način. V tem načinu bo vozlišče registrirano v organizaciji in povezano z oblakom, vendar ne bo obravnavalo prometa.
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
Po konfiguraciji passiveMode
v datoteko ISO in jo shranite, lahko ustvarite drugo kopijo datoteke ISO brez passiveMode
konfiguracijo in jo shranite na varno mesto. Ta kopija datoteke ISO brez passiveMode
konfigurirano lahko pomaga pri hitrem procesu samodejnega preklopa med obnovitvijo po katastrofi. glej Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti za podroben postopek samodejnega preklopa.
Podpora za proxy
Hybrid Data Security podpira eksplicitne, pregledne inšpekcijske in neinšpekcijske posrednike. Te posrednike lahko povežete s svojo uvedbo, tako da lahko zavarujete in spremljate promet iz podjetja v oblak. Skrbniški vmesnik platforme lahko uporabite na vozliščih za upravljanje potrdil in za preverjanje splošnega stanja povezljivosti, potem ko nastavite proxy na vozliščih.
Vozlišča Hybrid Data Security podpirajo naslednje možnosti posrednika:
Brez posrednika— Privzeto, če za integracijo proxyja ne uporabljate nastavitve vozlišča HDS Trust Store & Proxy. Posodobitev potrdila ni potrebna.
Transparenten proxy brez nadzora— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy in ne bi smela zahtevati nobenih sprememb za delo s proxyjem, ki ne preverja. Posodobitev potrdila ni potrebna.
Transparentni proxy za tuneliranje ali pregledovanje— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy. Na vozliščih niso potrebne spremembe konfiguracije HTTP ali HTTPS. Vendar vozlišča potrebujejo korensko potrdilo, da zaupajo proxyju. Inspecting proxy običajno uporablja IT za uveljavljanje pravilnikov o tem, katera spletna mesta je mogoče obiskati in katere vrste vsebine niso dovoljene. Ta vrsta proxyja dešifrira ves vaš promet (tudi HTTPS).
Eksplicitni posrednik— Z eksplicitnim proxy vozliščem HDS poveste, kateri strežnik proxy in shemo preverjanja pristnosti naj uporabijo. Če želite konfigurirati eksplicitni proxy, morate v vsako vozlišče vnesti naslednje informacije:
Proxy IP/FQDN—Naslov, ki ga je mogoče uporabiti za dostop do proxy naprave.
Proxy vrata—Številka vrat, ki jih proxy uporablja za poslušanje prometa prek posrednika.
Proxy protokol—Glede na to, kaj podpira vaš proxy strežnik, izberite med naslednjimi protokoli:
HTTP—Ogleda in nadzoruje vse zahteve, ki jih pošlje odjemalec.
HTTPS—zagotavlja kanal strežniku. Odjemalec prejme in potrdi potrdilo strežnika.
Vrsta avtentikacije—Izbirajte med naslednjimi vrstami preverjanja pristnosti:
Noben— Nadaljnje preverjanje pristnosti ni potrebno.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Osnovno—Uporablja se za uporabniškega agenta HTTP, da zagotovi uporabniško ime in geslo, ko poda zahtevo. Uporablja kodiranje Base64.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
prebaviti— Uporablja se za potrditev računa pred pošiljanjem občutljivih informacij. Uporabi zgoščeno funkcijo za uporabniško ime in geslo pred pošiljanjem po omrežju.
Na voljo samo, če izberete HTTPS kot posredniški protokol.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
Primer vozlišč hibridne varnosti podatkov in posrednika
Ta diagram prikazuje primer povezave med Hybrid Data Security, omrežjem in proxyjem. Za možnosti transparentnega pregledovanja in eksplicitnega pregledovanja HTTPS proxy mora biti isto korensko potrdilo nameščeno na proxyju in vozliščih Hybrid Data Security.
Blokiran zunanji način reševanja DNS (eksplicitne konfiguracije proxyja)
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Pri uvedbah z eksplicitnimi konfiguracijami posrednika, ki ne dovoljujejo zunanjega razreševanja DNS za notranje odjemalce, če vozlišče ne more poizvedovati po strežnikih DNS, samodejno preide v način blokiranega zunanjega razreševanja DNS. V tem načinu se lahko nadaljuje registracija vozlišča in drugi testi povezljivosti posrednika.
Zahteve za hibridno varnost podatkov
Licenčne zahteve za Cisco Webex
Če želite uvesti Hybrid Data Security:
Za Cisco Webex Control Hub morate imeti Pro Pack. (Glej https://www.cisco.com/go/pro-pack.)
Zahteve za namizje Docker
Preden namestite vozlišča HDS, potrebujete Docker Desktop za zagon namestitvenega programa. Docker je nedavno posodobil svoj model licenciranja. Vaša organizacija morda zahteva plačljivo naročnino za Docker Desktop. Za podrobnosti si oglejte objavo v spletnem dnevniku Docker, " Docker posodablja in podaljšuje naše naročnine na izdelke".
Zahteve za potrdilo X.509
Certifikacijska veriga mora izpolnjevati naslednje zahteve:
Zahteva | Podrobnosti |
---|---|
| Privzeto zaupamo CA-jem na seznamu Mozilla (z izjemo WoSign in StartCom) na https://wiki.mozilla.org/CA:IncludedCAs. |
| Ni treba, da je CN dosegljiv ali gostitelj v živo. Priporočamo, da uporabite ime, ki odraža vašo organizacijo, na primer KN ne sme vsebovati * (nadomestni znak). CN se uporablja za preverjanje vozlišč Hybrid Data Security za odjemalce aplikacije Webex. Vsa vozlišča Hybrid Data Security v vaši gruči uporabljajo isto potrdilo. Vaš KMS se identificira z uporabo domene CN, ne katere koli domene, ki je definirana v poljih SAN x.509v3. Ko registrirate vozlišče s tem potrdilom, ne podpiramo spreminjanja imena domene CN. Izberite domeno, ki se lahko uporablja za preskusno in produkcijsko uvedbo. |
| Programska oprema KMS ne podpira podpisov SHA1 za preverjanje povezav s KMS-ji drugih organizacij. |
| Za spremembo oblike potrdila lahko uporabite pretvornik, kot je OpenSSL. Ko zaženete orodje za nastavitev HDS, boste morali vnesti geslo. |
Programska oprema KMS ne uveljavlja uporabe ključev ali razširjenih omejitev uporabe ključev. Nekateri overitelji potrdil zahtevajo, da se za vsako potrdilo uporabijo razširjene omejitve uporabe ključa, na primer preverjanje pristnosti strežnika. V redu je, če uporabite avtentikacijo strežnika ali druge nastavitve.
Zahteve za virtualnega gostitelja
Navidezni gostitelji, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči, imajo naslednje zahteve:
Vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru
VMware ESXi 6.5 (ali novejši) nameščen in deluje.
Če imate starejšo različico ESXi, morate nadgraditi.
Najmanj 4 vCPU-ji, 8 GB glavnega pomnilnika, 30 GB lokalnega prostora na trdem disku na strežnik
Zahteve za strežnik baze podatkov
Ustvarite novo bazo podatkov za shranjevanje ključev. Ne uporabljajte privzete zbirke podatkov. Ko so nameščene aplikacije HDS, ustvarijo shemo baze podatkov. |
Obstajata dve možnosti za strežnik baze podatkov. Zahteve za vsakega so naslednje:
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) | Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) |
Programska oprema HDS trenutno namesti naslednje različice gonilnikov za komunikacijo s strežnikom baze podatkov:
PostgreSQL | Microsoft SQL Server |
---|---|
Gonilnik Postgres JDBC 42.2.5 | Gonilnik SQL Server JDBC 4.6 Ta različica gonilnika podpira SQL Server Always On ( Always On Failover Cluster Instances in Skupine razpoložljivosti Always On). |
Dodatne zahteve za preverjanje pristnosti sistema Windows proti strežniku Microsoft SQL Server
Če želite, da vozlišča HDS uporabljajo preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev v strežniku Microsoft SQL Server, potrebujete naslednjo konfiguracijo v svojem okolju:
Vozlišča HDS, infrastruktura Active Directory in MS SQL Server morajo biti vsi sinhronizirani z NTP.
Račun Windows, ki ga zagotovite vozliščem HDS, mora imeti dostop za branje/pisanje do baze podatkov.
Strežniki DNS, ki jih zagotovite vozliščem HDS, morajo imeti možnost razrešiti vaš center za distribucijo ključev (KDC).
Primerek baze podatkov HDS lahko registrirate na strežniku Microsoft SQL Server kot glavno ime storitve (SPN) v imeniku Active Directory. glej Registrirajte glavno ime storitve za povezave Kerberos.
Orodje za nastavitev HDS, zaganjalnik HDS in lokalni KMS morajo uporabljati preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev. Uporabijo podrobnosti iz vaše konfiguracije ISO za izdelavo SPN, ko zahtevajo dostop s preverjanjem pristnosti Kerberos.
Zahteve za zunanjo povezljivost
Konfigurirajte požarni zid, da bo omogočal naslednje povezave za aplikacije HDS:
Aplikacija | Protokol | Pristanišče | Smer iz App | Destinacija |
---|---|---|---|---|
Hibridna varnostna vozlišča podatkov | TCP | 443 | Odhodni HTTPS in WSS |
|
Orodje za nastavitev HDS | TCP | 443 | Odhodni HTTPS |
|
Vozlišča Hybrid Data Security delujejo s prevajanjem omrežnega dostopa (NAT) ali za požarnim zidom, če NAT ali požarni zid omogoča zahtevane odhodne povezave do ciljev domene v prejšnji tabeli. Za povezave, ki potekajo vhodno do vozlišč Hybrid Data Security, iz interneta ne smejo biti vidna nobena vrata. V vašem podatkovnem centru odjemalci potrebujejo dostop do vozlišč Hybrid Data Security na vratih TCP 443 in 22 za administrativne namene. |
URL-ji za gostitelje skupne identitete (CI) so specifični za regijo. To so trenutni gostitelji CI:
Regija | URL-ji gostitelja skupne identitete |
---|---|
Amerike |
|
Evropska unija |
|
Kanada |
|
Zahteve za strežnik proxy
Uradno podpiramo naslednje rešitve proxy, ki se lahko integrirajo z vašimi vozlišči Hybrid Data Security.
Transparent proxy—Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice (wss:) povezave. Če se želite izogniti tej težavi, glejte Konfigurirajte posrednike Squid za hibridno varnost podatkov.
Podpiramo naslednje kombinacije vrst preverjanja pristnosti za eksplicitne posrednike:
Ni avtentikacije s HTTP ali HTTPS
Osnovna avtentikacija s HTTP ali HTTPS
Pregled pristnosti samo s HTTPS
Za proxy proxy za pregledovanje ali eksplicitni proxy HTTPS morate imeti kopijo korenskega potrdila proxyja. Navodila za uvajanje v tem priročniku vam povejo, kako naložite kopijo v skrbniške shrambe vozlišč Hybrid Data Security.
Omrežje, ki gosti vozlišča HDS, mora biti konfigurirano tako, da prisili izhodni promet TCP na vratih 443, da se usmeri prek proxyja.
Posredniki, ki pregledujejo spletni promet, lahko motijo povezave s spletnimi vtičnicami. Če pride do te težave, obide (brez pregleda) promet do
wbx2.com
inciscospark.com
bo rešil problem.
Izpolnite predpogoje za hibridno varnost podatkov
1 | Prepričajte se, da je vaša organizacija Webex omogočena za Pro Pack za Cisco Webex Control Hub in pridobite poverilnice računa s polnimi skrbniškimi pravicami organizacije. Za pomoč pri tem postopku se obrnite na svojega Ciscovega partnerja ali upravitelja računa. | ||
2 | Izberite ime domene za svojo uvedbo HDS (npr. | ||
3 | Pripravite enake navidezne gostitelje, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči. Potrebujete vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru, ki izpolnjujeta zahteve v Zahteve za virtualnega gostitelja. | ||
4 | Pripravite strežnik baze podatkov, ki bo deloval kot shramba ključnih podatkov za gručo, v skladu z Zahteve za strežnik baze podatkov. Strežnik baze podatkov mora biti nameščen v varnem podatkovnem centru skupaj z virtualnimi gostitelji. | ||
5 | Za hitro obnovitev po katastrofi nastavite varnostno okolje v drugem podatkovnem centru. Okolje za varnostno kopiranje zrcali produkcijsko okolje navideznih strojev in strežnik baze podatkov za varnostno kopiranje. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. | ||
6 | Nastavite gostitelja sistemskega dnevnika za zbiranje dnevnikov iz vozlišč v gruči. Zberite njegov omrežni naslov in vrata sistemskega dnevnika (privzeto je UDP 514). | ||
7 | Ustvarite politiko varnega varnostnega kopiranja za vozlišča Hybrid Data Security, strežnik baze podatkov in gostitelja sistemskega dnevnika. Če želite preprečiti nepopravljivo izgubo podatkov, morate najmanj varnostno kopirati bazo podatkov in konfiguracijsko datoteko ISO, ustvarjeno za vozlišča Hybrid Data Security.
Odjemalci aplikacije Webex shranjujejo svoje ključe v predpomnilnik, zato izpad morda ne bo takoj opazen, vendar bo sčasoma očiten. Čeprav je začasnih izpadov nemogoče preprečiti, jih je mogoče obnoviti. Vendar bo popolna izguba (razpoložljivih varnostnih kopij) baze podatkov ali konfiguracijske datoteke ISO povzročila nepopravljivost podatkov o strankah. Od operaterjev vozlišč Hybrid Data Security se pričakuje, da bodo vzdrževali pogoste varnostne kopije baze podatkov in konfiguracijske datoteke ISO ter da bodo pripravljeni na ponovno izgradnjo podatkovnega centra Hybrid Data Security, če pride do katastrofalne okvare. | ||
8 | Zagotovite, da vaša konfiguracija požarnega zidu omogoča povezljivost za vozlišča Hybrid Data Security, kot je opisano v Zahteve za zunanjo povezljivost. | ||
9 | Namestite Docker ( https://www.docker.com) na katerem koli lokalnem računalniku s podprtim OS (Microsoft Windows 10 Professional ali Enterprise 64-bit ali Mac OSX Yosemite 10.10.3 ali novejši) s spletnim brskalnikom, ki lahko dostopa do njega na http://127.0.0.1:8080. Primerek Docker uporabite za prenos in zagon orodja za nastavitev HDS, ki gradi lokalne konfiguracijske informacije za vsa vozlišča Hybrid Data Security. Vaša organizacija morda potrebuje licenco Docker Desktop. glej Zahteve za namizje Docker za več informacij. Če želite namestiti in zagnati orodje za nastavitev HDS, mora imeti lokalni računalnik povezljivost, opisano v Zahteve za zunanjo povezljivost. | ||
10 | Če integrirate proxy s Hybrid Data Security, se prepričajte, da ustreza Zahteve za strežnik proxy. | ||
11 | Če vaša organizacija uporablja sinhronizacijo imenikov, ustvarite skupino v imeniku Active Directory, imenovano
|
Potek opravila uvajanja hibridne varnosti podatkov
Preden začneš
1 | Prenesite namestitvene datoteke Prenesite datoteko OVA na svoj lokalni računalnik za kasnejšo uporabo. | ||
2 | Ustvarite konfiguracijski ISO za gostitelje HDS Z orodjem za nastavitev HDS ustvarite konfiguracijsko datoteko ISO za vozlišča Hybrid Data Security. | ||
3 |
Ustvarite virtualni stroj iz datoteke OVA in izvedite začetno konfiguracijo, kot so omrežne nastavitve.
| ||
4 | Nastavite Hybrid Data Security VM Prijavite se v konzolo VM in nastavite poverilnice za prijavo. Konfigurirajte omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA. | ||
5 | Naložite in namestite ISO konfiguracije HDS Konfigurirajte VM iz konfiguracijske datoteke ISO, ki ste jo ustvarili z orodjem za namestitev HDS. | ||
6 | Konfigurirajte vozlišče HDS za integracijo posrednika Če omrežno okolje zahteva konfiguracijo proxyja, podajte vrsto proxyja, ki ga boste uporabili za vozlišče, in po potrebi dodajte potrdilo proxyja v shrambo zaupanja. | ||
7 | Registrirajte prvo vozlišče v gruči Registrirajte VM v oblaku Cisco Webex kot Hybrid Data Security node. | ||
8 | Ustvarite in registrirajte več vozlišč Dokončajte nastavitev gruče. | ||
9 | Izvedite preizkus in se premaknite v produkcijo (naslednje poglavje) Dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana. |
Prenesite namestitvene datoteke
1 | Prijavite se v https://admin.webex.comin nato kliknite Storitve. | ||||
2 | V razdelku Hybrid Services poiščite kartico Hybrid Data Security in kliknite Nastaviti. Če je kartica onemogočena ali je ne vidite, se obrnite na skupino za račun ali partnersko organizacijo. Dajte jim svojo številko računa in jih prosite, da vaši organizaciji omogočijo hibridno varnost podatkov. Če želite poiskati številko računa, kliknite zobnik v zgornjem desnem kotu poleg imena vaše organizacije.
| ||||
3 | Izberite št da označite, da vozlišča še niste nastavili, in nato kliknite Naslednji. Datoteka OVA se samodejno začne prenašati. Datoteko shranite na mesto v vašem računalniku.
| ||||
4 | Po želji kliknite Odprite vodnik za uvajanje da preverite, ali je na voljo novejša različica tega priročnika. |
Ustvarite konfiguracijski ISO za gostitelje HDS
Postopek nastavitve Hybrid Data Security ustvari datoteko ISO. Nato uporabite ISO za konfiguracijo gostitelja Hybrid Data Security.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v koraku 5. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska datoteka ISO, ki jo ustvarite, vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. Najnovejšo kopijo te datoteke potrebujete vsakič, ko spremenite konfiguracijo, kot je ta:
Poverilnice baze podatkov
Posodobitve potrdil
Spremembe politike avtorizacije
Če nameravate šifrirati povezave z bazo podatkov, nastavite svojo uvedbo PostgreSQL ali SQL Server za TLS.
1 | V ukazno vrstico vašega računalnika vnesite ustrezen ukaz za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
2 | Za vpis v register slik Docker vnesite naslednje:
| ||||||||||||
3 | Ob pozivu za geslo vnesite to zgoščeno vrednost:
| ||||||||||||
4 | Prenesite najnovejšo stabilno sliko za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
5 | Ko je vlečenje končano, vnesite ustrezen ukaz za vaše okolje:
Ko se vsebnik izvaja, vidite »Strežnik Express posluša na vratih 8080«. | ||||||||||||
6 |
Uporabite spletni brskalnik za dostop do lokalnega gostitelja, Orodje uporabi ta prvi vnos uporabniškega imena za nastavitev ustreznega okolja za ta račun. Orodje nato prikaže standardni poziv za prijavo. | ||||||||||||
7 | Ko ste pozvani, vnesite poverilnice za prijavo skrbnika stranke Control Hub in kliknite Vpiši se da omogočite dostop do zahtevanih storitev za Hybrid Data Security. | ||||||||||||
8 | Na strani s pregledom orodja za nastavitev kliknite Začeti. | ||||||||||||
9 | Na ISO uvoz strani, imate te možnosti:
| ||||||||||||
10 | Preverite, ali vaše potrdilo X.509 izpolnjuje zahteve v Zahteve za potrdilo X.509.
| ||||||||||||
11 | Vnesite naslov baze podatkov in račun za HDS za dostop do shrambe ključnih podatkov: | ||||||||||||
12 | Izberite a Način povezave z bazo podatkov TLS:
Ko naložite korensko potrdilo (če je potrebno) in kliknite Nadaljuj, orodje za nastavitev HDS preizkusi povezavo TLS s strežnikom baze podatkov. Orodje preveri tudi podpisnika potrdila in ime gostitelja, če je na voljo. Če preizkus ne uspe, orodje prikaže sporočilo o napaki, ki opisuje težavo. Izberete lahko, ali želite napako prezreti in nadaljevati z nastavitvijo. (Zaradi razlik v povezljivosti bodo vozlišča HDS morda lahko vzpostavila povezavo TLS, tudi če naprava z orodjem za nastavitev HDS tega ne more uspešno preizkusiti.) | ||||||||||||
13 | Na strani Sistemski dnevniki konfigurirajte strežnik Syslogd: | ||||||||||||
14 | (Izbirno) Spremenite lahko privzeto vrednost za nekatere parametre povezave z bazo podatkov v Napredne nastavitve. Na splošno je ta parameter edini, ki bi ga morda želeli spremeniti:
| ||||||||||||
15 | Kliknite Nadaljuj na Ponastavite geslo za storitvene račune zaslon. Gesla storitvenih računov imajo življenjsko dobo devet mesecev. Uporabite ta zaslon, ko se vaša gesla bližajo izteku ali jih želite ponastaviti, da razveljavi prejšnje datoteke ISO. | ||||||||||||
16 | Kliknite Prenesite datoteko ISO. Datoteko shranite na mesto, ki ga je enostavno najti. | ||||||||||||
17 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||||||||||||
18 | Če želite zaustaviti orodje za nastavitev, vnesite |
Kaj storiti naprej
Varnostno kopirajte konfiguracijsko datoteko ISO. Potrebujete ga za ustvarjanje več vozlišč za obnovitev ali za spreminjanje konfiguracije. Če izgubite vse kopije datoteke ISO, ste izgubili tudi glavni ključ. Obnovitev ključev iz baze podatkov PostgreSQL ali Microsoft SQL Server ni mogoča.
Nikoli nimamo kopije tega ključa in vam ne moremo pomagati, če ga izgubite. |
Namestite HDS Host OVA
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v navideznega gostitelja ESXi. | ||||||
2 | Izberite mapa > Namestite predlogo OVF. | ||||||
3 | V čarovniku določite lokacijo datoteke OVA, ki ste jo prej prenesli, in nato kliknite Naslednji . | ||||||
4 | Na Izberite ime in mapo strani vnesite a Ime navideznega stroja za vozlišče (na primer "HDS_node_1"), izberite lokacijo, kjer je lahko uvedba vozlišča navideznega stroja, in nato kliknite Naslednji . | ||||||
5 | Na Izberite računalniški vir izberite ciljni računalniški vir in kliknite Naslednji . Zažene se preverjanje veljavnosti. Ko se konča, se prikažejo podrobnosti predloge. | ||||||
6 | Preverite podrobnosti predloge in kliknite Naslednji. | ||||||
7 | Če ste pozvani, da izberete konfiguracijo vira na Konfiguracija strani, kliknite 4 procesor in nato kliknite Naslednji . | ||||||
8 | Na Izberite shranjevanje strani, kliknite Naslednji da sprejmete privzeti format diska in politiko shranjevanja VM. | ||||||
9 | Na Izberite omrežja izberite omrežno možnost s seznama vnosov, da zagotovite želeno povezljivost z VM. | ||||||
10 | Na Prilagodite predlogo strani, konfigurirajte naslednje omrežne nastavitve:
Če želite, lahko preskočite konfiguracijo omrežnih nastavitev in sledite korakom v Nastavite Hybrid Data Security VM da konfigurirate nastavitve iz konzole vozlišča.
| ||||||
11 | Z desno miškino tipko kliknite vozlišče VM in nato izberite .Programska oprema Hybrid Data Security je nameščena kot gost na gostitelju VM. Zdaj ste pripravljeni, da se prijavite v konzolo in konfigurirate vozlišče. Nasveti za odpravljanje težav Preden se vsebniki vozlišč prikažejo, lahko pride do nekajminutne zamude. Med prvim zagonom se na konzoli pojavi sporočilo mostnega požarnega zidu, med katerim se ne morete prijaviti. |
Nastavite Hybrid Data Security VM
S tem postopkom se prvič prijavite v konzolo VM vozlišča Hybrid Data Security in nastavite poverilnice za prijavo. S konzolo lahko konfigurirate tudi omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA.
1 | V odjemalcu VMware vSphere izberite VM vozlišča Hybrid Data Security in izberite Konzola zavihek. VM se zažene in prikaže se poziv za prijavo. Če se poziv za prijavo ne prikaže, pritisnite Vnesite.
|
2 | Za prijavo in spremembo poverilnic uporabite naslednjo privzeto prijavo in geslo: Ker se v svoj VM vpisujete prvič, morate spremeniti skrbniško geslo. |
3 | Če ste že konfigurirali omrežne nastavitve v Namestite HDS Host OVA, preskočite preostanek tega postopka. V nasprotnem primeru v glavnem meniju izberite Uredi konfiguracijo možnost. |
4 | Nastavite statično konfiguracijo z informacijami o naslovu IP, maski, prehodu in DNS. Vaše vozlišče mora imeti notranji naslov IP in ime DNS. DHCP ni podprt. |
5 | (Izbirno) Spremenite ime gostitelja, domeno ali strežnike NTP, če je potrebno, da se ujemajo z vašo omrežno politiko. Ni vam treba nastaviti domene, da se ujema z domeno, ki ste jo uporabili za pridobitev potrdila X.509. |
6 | Shranite omrežno konfiguracijo in znova zaženite VM, da bodo spremembe začele veljati. |
Naložite in namestite ISO konfiguracije HDS
Preden začneš
Ker datoteka ISO vsebuje glavni ključ, jo je treba razkriti samo na podlagi "potrebe vedeti" za dostop navideznih računalnikov Hybrid Data Security in vseh skrbnikov, ki bodo morda morali narediti spremembe. Prepričajte se, da imajo samo ti skrbniki dostop do shrambe podatkov.
1 | Naložite datoteko ISO iz računalnika: |
2 | Namestite datoteko ISO: |
Kaj storiti naprej
Če vaša politika IT zahteva, lahko po želji odklopite datoteko ISO, potem ko vsa vaša vozlišča prevzamejo spremembe konfiguracije. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti.
Konfigurirajte vozlišče HDS za integracijo posrednika
Če omrežno okolje zahteva proxy, s tem postopkom določite vrsto proxyja, s katerim se želite integrirati Hibridna varnost podatkov. Če izberete proxy proxy za pregledovanje ali eksplicitni proxy HTTPS, lahko uporabite vmesnik vozlišča za nalaganje in namestitev korenskega potrdila. Povezavo proxy lahko preverite tudi prek vmesnika in odpravite morebitne težave.
Preden začneš
glej Podpora za proxy za pregled podprtih možnosti proxyja.
1 | Vnesite URL za nastavitev vozlišča HDS |
2 | Pojdi do Trust Store & Proxyin nato izberite možnost:
Sledite naslednjim korakom za pregleden proxy za pregledovanje, eksplicitni proxy HTTP z osnovnim preverjanjem pristnosti ali eksplicitni proxy HTTPS. |
3 | Kliknite Naložite korensko potrdilo ali potrdilo končne entitete, nato pa se pomaknite do izbire korenskega potrdila za proxy. Potrdilo je naloženo, vendar še ni nameščeno, ker morate za namestitev potrdila znova zagnati vozlišče. Kliknite puščico ševrona ob imenu izdajatelja potrdila, da dobite več podrobnosti ali kliknite Izbriši če ste se zmotili in želite znova naložiti datoteko. |
4 | Kliknite Preverite povezavo proxy da preizkusite omrežno povezljivost med vozliščem in posrednikom. Če preizkus povezave ne uspe, boste videli sporočilo o napaki, ki prikazuje razlog in kako lahko odpravite težavo. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS. Ta pogoj je pričakovan v številnih eksplicitnih konfiguracijah proxyja. Lahko nadaljujete z nastavitvijo in vozlišče bo delovalo v načinu blokirane zunanje ločljivosti DNS. Če menite, da je to napaka, dokončajte te korake in si oglejte Izklopite način razreševanja blokiranega zunanjega DNS-ja. |
5 | Ko je preskus povezave uspešen, za eksplicitni proxy, nastavljen samo na https, preklopite stikalo na Usmerite vse https zahteve vrat 443/444 iz tega vozlišča prek eksplicitnega proxyja. Ta nastavitev začne veljati po 15 sekundah. |
6 | Kliknite Namestite vsa potrdila v Trust Store (prikaže se za eksplicitni proxy HTTPS ali pregledni proxy za preverjanje) ali Znova zaženite (prikaže se za eksplicitni proxy HTTP), preberite poziv in kliknite Namestite če si pripravljen. Vozlišče se znova zažene v nekaj minutah. |
7 | Ko se vozlišče znova zažene, se po potrebi znova vpišite in nato odprite Pregled strani, da preverite preverjanja povezljivosti in se prepričate, ali so vsi v zelenem stanju. Preverjanje povezave posrednika testira samo poddomeno webex.com. Če pride do težav s povezljivostjo, je pogosta težava, da so nekatere domene v oblaku, navedene v navodilih za namestitev, blokirane na strežniku proxy. |
Registrirajte prvo vozlišče v gruči
Ko registrirate svoje prvo vozlišče, ustvarite gručo, ki ji je vozlišče dodeljeno. Grozd vsebuje eno ali več vozlišč, nameščenih za zagotavljanje redundance.
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Prijavite se v https://admin.webex.com. |
2 | V meniju na levi strani zaslona izberite Storitve. |
3 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite Nastaviti. Prikaže se stran Register Hybrid Data Security Node.
|
4 | Izberite ja da označite, da ste nastavili vozlišče in ste ga pripravljeni registrirati, in nato kliknite Naslednji. |
5 | V prvo polje vnesite ime za gručo, ki ji želite dodeliti vozlišče Hybrid Data Security. Priporočamo, da gručo poimenujete glede na to, kje se geografsko nahajajo vozlišča gruče. Primeri: "San Francisco" ali "New York" ali "Dallas" |
6 | V drugo polje vnesite notranji naslov IP ali popolnoma kvalificirano ime domene (FQDN) svojega vozlišča in kliknite Naslednji. Ta naslov IP ali FQDN se mora ujemati z naslovom IP ali imenom gostitelja in domeno, ki ste jo uporabili Nastavite Hybrid Data Security VM. Prikaže se sporočilo, ki nakazuje, da lahko svoje vozlišče registrirate v Webex.
|
7 | Kliknite Pojdite na Node. |
8 | Kliknite Nadaljuj v opozorilnem sporočilu. Po nekaj trenutkih ste preusmerjeni na teste povezljivosti vozlišča za storitve Webex. Če so vsi preizkusi uspešni, se prikaže stran Dovoli dostop do vozlišča Hybrid Data Security Node. Tam potrdite, da želite svoji organizaciji Webex dati dovoljenja za dostop do vašega vozlišča.
|
9 | Preverite Dovolite dostop do vašega vozlišča Hybrid Data Security Node potrditveno polje in nato kliknite Nadaljuj. Vaš račun je potrjen in sporočilo »Registracija je dokončana« nakazuje, da je vaše vozlišče zdaj registrirano v oblaku Webex.
|
10 | Kliknite povezavo ali zaprite zavihek, da se vrnete na stran Hybrid Data Security Control Hub. Na Hibridna varnost podatkov stran, se prikaže nova gruča, ki vsebuje vozlišče, ki ste ga registrirali. Vozlišče bo samodejno preneslo najnovejšo programsko opremo iz oblaka.
|
Ustvarite in registrirajte več vozlišč
Trenutno so varnostni VM-ji, ki ste jih ustvarili v Izpolnite predpogoje za hibridno varnost podatkov so gostitelji v pripravljenosti, ki se uporabljajo samo v primeru obnovitve po katastrofi; do takrat niso registrirani v sistemu. Za podrobnosti glejte Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti. |
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Ustvarite nov virtualni stroj iz OVA in ponovite korake Namestite HDS Host OVA. |
2 | Nastavite začetno konfiguracijo na novem VM in ponovite korake v Nastavite Hybrid Data Security VM. |
3 | Na novem VM ponovite korake v Naložite in namestite ISO konfiguracije HDS. |
4 | Če nastavljate proxy za svojo uvedbo, ponovite korake v Konfigurirajte vozlišče HDS za integracijo posrednika kot je potrebno za novo vozlišče. |
5 | Registrirajte vozlišče. Vaše vozlišče je registrirano. Upoštevajte, da dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana.
|
Kaj storiti naprej
Potek naloge od poskusa do proizvodnje
Ko nastavite gručo Hybrid Data Security, lahko zaženete pilotni projekt, vanj dodate uporabnike in ga začnete uporabljati za preizkušanje in preverjanje vaše uvedbe v pripravah na selitev v proizvodnjo.
Preden začneš
1 | Če je primerno, sinhronizirajte Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati |
2 |
Začni poskus. Dokler ne opravite te naloge, vaša vozlišča ustvarijo alarm, ki nakazuje, da storitev še ni aktivirana. |
3 | Preizkusite svojo hibridno uvedbo varnosti podatkov Preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
4 | Spremljajte varnost hibridnih podatkov Preverite stanje in nastavite e-poštna obvestila za alarme. |
5 | |
6 | Dokončajte preskusno fazo z enim od naslednjih dejanj: |
Aktiviraj preizkus
Preden začneš
Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati HdsTrialGroup
predmet skupine za sinhronizacijo z oblakom, preden lahko začnete preskusno obdobje za svojo organizacijo. Za navodila glejte Vodnik za uvajanje za Cisco Directory Connector.
1 | Prijavite se v https://admin.webex.comin nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Začni preizkus. Stanje storitve se spremeni v poskusni način.
|
4 | Kliknite Dodajanje uporabnikov in vnesite e-poštni naslov enega ali več uporabnikov za poskusno uporabo vozlišč Hybrid Data Security za storitve šifriranja in indeksiranja. (Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory za upravljanje poskusne skupine, |
Preizkusite svojo hibridno uvedbo varnosti podatkov
Preden začneš
Nastavite svojo uvedbo Hybrid Data Security.
Aktivirajte preskusno različico in dodajte več poskusnih uporabnikov.
Prepričajte se, da imate dostop do sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security.
1 | Ključe za določen prostor nastavi ustvarjalec prostora. Prijavite se v aplikacijo Webex kot eden od pilotnih uporabnikov, nato pa ustvarite prostor in povabite vsaj enega pilotnega uporabnika in enega nepilotnega uporabnika.
| ||
2 | Pošljite sporočila v novi prostor. | ||
3 | Preverite izhod sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
Spremljajte varnost hibridnih podatkov
1 | notri Nadzorno središče, izberite Storitve iz menija na levi strani zaslona. |
2 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite nastavitve. Prikaže se stran z nastavitvami hibridne varnosti podatkov.
|
3 | V razdelku E-poštna obvestila vnesite enega ali več e-poštnih naslovov, ločenih z vejicami, in pritisnite Vnesite. |
Dodajte ali odstranite uporabnike iz svojega preizkusa
Če odstranite uporabnika iz preizkusa, bo uporabnikov odjemalec zahteval ključe in ustvarjanje ključa iz oblaka KMS namesto vašega KMS. Če odjemalec potrebuje ključ, ki je shranjen na vašem KMS, ga bo KMS v oblaku pridobil v imenu uporabnika.
Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory (namesto tega postopka) za upravljanje poskusne skupine, HdsTrialGroup
; člane skupine si lahko ogledate v Nadzornem središču, vendar jih ne morete dodati ali odstraniti.
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Preizkusni način v območju Stanje storitve kliknite Dodajanje uporabnikov, ali kliknite ogled in urejanje za odstranitev uporabnikov iz preizkusa. |
4 | Vnesite e-poštni naslov enega ali več uporabnikov, ki jih želite dodati, ali kliknite X z ID-jem uporabnika, da uporabnika odstranite iz preizkusa. Nato kliknite Shrani. |
Premaknite se s preskusne različice na produkcijsko
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Premakni se v proizvodnjo. |
4 | Potrdite, da želite vse svoje uporabnike premakniti v produkcijo. |
Končajte preizkus, ne da bi se preselili v proizvodnjo
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Deaktiviraj kliknite Deaktiviraj. |
4 | Potrdite, da želite deaktivirati storitev in končati preskusno obdobje. |
Upravljanje uvajanja HDS
Uporabite tukaj opisane naloge za upravljanje svoje razmestitve Hybrid Data Security.
Nastavite urnik nadgradnje gruče
Če želite nastaviti urnik nadgradnje:
1 | Prijavite se v Nadzorno središče. |
2 | Na strani Pregled v razdelku Hibridne storitve izberite Hibridna varnost podatkov. |
3 | Na strani Viri za varnost hibridnih podatkov izberite gručo. |
4 | Na plošči Pregled na desni v razdelku Nastavitve gruče izberite ime gruče. |
5 | Na strani z nastavitvami v razdelku Nadgradnja izberite čas in časovni pas za urnik nadgradnje. Opomba: Pod časovnim pasom sta prikazana datum in čas naslednje razpoložljive nadgradnje. Nadgradnjo lahko po potrebi prestavite na naslednji dan s klikom Odložiti. |
Spremenite konfiguracijo vozlišča
Spreminjanje potrdil x.509 zaradi poteka veljavnosti ali drugih razlogov.
Ne podpiramo spreminjanja imena domene CN potrdila. Domena se mora ujemati z izvirno domeno, uporabljeno za registracijo gruče.
Posodabljanje nastavitev baze podatkov za spremembo v repliko baze podatkov PostgreSQL ali Microsoft SQL Server.
Ne podpiramo selitve podatkov iz PostgreSQL v Microsoft SQL Server ali obratno. Če želite preklopiti okolje baze podatkov, začnite novo uvedbo Hybrid Data Security.
Ustvarjanje nove konfiguracije za pripravo novega podatkovnega centra.
Poleg tega za varnostne namene Hybrid Data Security uporablja gesla storitvenih računov, ki imajo devetmesečno življenjsko dobo. Ko orodje HDS Setup ustvari ta gesla, jih namestite v vsako od svojih vozlišč HDS v konfiguracijski datoteki ISO. Ko se gesla vaše organizacije bližajo izteku, prejmete obvestilo ekipe Webex za ponastavitev gesla za vaš strojni račun. (E-poštno sporočilo vključuje besedilo »Uporabite API računa stroja za posodobitev gesla.«) Če vaša gesla še niso potekla, vam orodje ponuja dve možnosti:
Mehka ponastavitev— Staro in novo geslo delujeta do 10 dni. To obdobje uporabite za postopno zamenjavo datoteke ISO na vozliščih.
Trda ponastavitev— Stara gesla prenehajo delovati takoj.
Če vaša gesla potečejo brez ponastavitve, to vpliva na vašo storitev HDS, saj zahteva takojšnjo strojno ponastavitev in zamenjavo datoteke ISO na vseh vozliščih.
S tem postopkom ustvarite novo konfiguracijsko datoteko ISO in jo uporabite za vašo gručo.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v 1.e. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Za ustvarjanje nove konfiguracije potrebujete kopijo trenutne konfiguracijske datoteke ISO. ISO vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. ISO potrebujete, ko spreminjate konfiguracijo, vključno s poverilnicami baze podatkov, posodobitvami potrdil ali spremembami pravilnika avtorizacije.
1 | Z Dockerjem na lokalnem računalniku zaženite orodje za namestitev HDS. |
2 | Če imate samo eno vozlišče HDS, ustvarite nov VM vozlišča Hybrid Data Security in ga registrirajte z novo konfiguracijsko datoteko ISO. Za podrobnejša navodila glejte Ustvarite in registrirajte več vozlišč. |
3 | Za obstoječa vozlišča HDS, ki izvajajo starejšo konfiguracijsko datoteko, namestite datoteko ISO. Izvedite naslednji postopek na vsakem vozlišču po vrsti in posodobite vsako vozlišče, preden izklopite naslednje vozlišče: |
4 | Ponovite 3. korak, da zamenjate konfiguracijo na vsakem preostalem vozlišču, ki izvaja staro konfiguracijo. |
Izklopite način razreševanja blokiranega zunanjega DNS-ja
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Če strežnik DNS vozlišča ne more razrešiti javnih imen DNS, vozlišče samodejno preide v način blokiranega zunanjega razreševanja DNS.
Če lahko vaša vozlišča razrešijo javna imena DNS prek notranjih strežnikov DNS, lahko ta način izklopite tako, da na vsakem vozlišču znova zaženete preskus povezave proxy.
Preden začneš
1 | V spletnem brskalniku odprite vmesnik vozlišča Hybrid Data Security (naslov IP/nastavitev, npr. https://192.0.2.0/setup), vnesite skrbniške poverilnice, ki ste jih nastavili za vozlišče, in nato kliknite Prijava. |
2 | Pojdi do Pregled (privzeta stran). Ko je omogočeno, Blokirana zunanja razrešitev DNS je nastavljeno na ja. |
3 | Pojdi na Trust Store & Proxy strani. |
4 | Kliknite Preverite povezavo proxy. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS in bo ostalo v tem načinu. V nasprotnem primeru, ko znova zaženete vozlišče in se vrnete na Pregled stran, Blokirana zunanja DNS resolucija mora biti nastavljena na št. |
Kaj storiti naprej
Odstranite vozlišče
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v virtualni gostitelj ESXi in izklopite virtualni stroj. |
2 | Odstranite vozlišče: |
3 | V odjemalcu vSphere izbrišite VM. (V levem podoknu za krmarjenje z desno miškino tipko kliknite VM in kliknite Izbriši.) Če VM ne izbrišete, ne pozabite odklopiti konfiguracijske datoteke ISO. Brez datoteke ISO ne morete uporabljati VM za dostop do svojih varnostnih podatkov. |
Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti
Najbolj kritična storitev, ki jo nudi vaša gruča Hybrid Data Security, je ustvarjanje in shranjevanje ključev, ki se uporabljajo za šifriranje sporočil in druge vsebine, shranjene v oblaku Webex. Za vsakega uporabnika v organizaciji, ki je dodeljen Hybrid Data Security, so nove zahteve za ustvarjanje ključev usmerjene v gručo. Grozd je odgovoren tudi za vrnitev ključev, ki jih je ustvaril vsem uporabnikom, ki so pooblaščeni, da jih pridobijo, na primer članom prostora za pogovor.
Ker gruča opravlja kritično funkcijo zagotavljanja teh ključev, je nujno, da gruča še naprej deluje in da se vzdržujejo ustrezne varnostne kopije. Izguba podatkovne baze Hybrid Data Security ali konfiguracijskega ISO, ki se uporablja za shemo, bo povzročila NEPODOLČLJIVO IZGUBO vsebine stranke. Naslednje prakse so obvezne za preprečitev takšne izgube:
Če katastrofa povzroči, da uvedba HDS v primarnem podatkovnem centru postane nerazpoložljiva, sledite temu postopku za ročni samodejni preklop v rezervni podatkovni center.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve stran, dodajte spodnjo konfiguracijo ali odstranite
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
(Izbirno) Odpni ISO po konfiguraciji HDS
Standardna konfiguracija HDS deluje z nameščenim ISO. Toda nekatere stranke raje ne puščajo datotek ISO neprekinjeno nameščenih. Datoteko ISO lahko odklopite, ko vsa vozlišča HDS prevzamejo novo konfiguracijo.
Za spreminjanje konfiguracije še vedno uporabljate datoteke ISO. Ko ustvarite nov ISO ali posodobite ISO prek orodja za nastavitev, morate posodobljeni ISO namestiti na vsa vozlišča HDS. Ko so vsa vaša vozlišča prevzela konfiguracijske spremembe, lahko s tem postopkom znova odklopite ISO.
Preden začneš
Nadgradite vsa svoja vozlišča HDS na različico 2021.01.22.4720 ali novejšo.
1 | Zaustavite eno od vozlišč HDS. |
2 | V strežniški napravi vCenter izberite vozlišče HDS. |
3 | Izberite Datoteka ISO za shranjevanje podatkov. in odkljukajte |
4 | Vklopite vozlišče HDS in zagotovite, da vsaj 20 minut ni alarmov. |
5 | Ponovite za vsako vozlišče HDS po vrsti. |
Ogled opozoril in odpravljanje težav
Uvedba hibridne varnosti podatkov se šteje za nerazpoložljivo, če so vsa vozlišča v gruči nedosegljiva ali če gruča deluje tako počasi, da zahteva preteče čas. Če uporabniki ne morejo doseči vaše gruče Hybrid Data Security, se pojavijo naslednji simptomi:
Novih prostorov ni mogoče ustvariti (ni mogoče ustvariti novih ključev)
Sporočil in naslovov prostorov ni mogoče dešifrirati za:
Novi uporabniki dodani v prostor (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru, ki uporabljajo novega odjemalca (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru bodo še naprej uspešno delovali, dokler imajo njihovi odjemalci predpomnilnik šifrirnih ključev
Pomembno je, da pravilno spremljate svojo gručo Hybrid Data Security in nemudoma obravnavate vsa opozorila, da preprečite motnje storitve.
Opozorila
Če pride do težave z nastavitvijo Hybrid Data Security, Control Hub prikaže opozorila skrbniku organizacije in pošlje e-pošto na konfigurirani e-poštni naslov. Opozorila zajemajo številne pogoste scenarije.
Opozorilo | Dejanje |
---|---|
Napaka pri dostopu do lokalne baze podatkov. |
Preverite napake baze podatkov ali težave z lokalnim omrežjem. |
Napaka povezave z lokalno bazo podatkov. |
Preverite, ali je strežnik baze podatkov na voljo in ali so bile v konfiguraciji vozlišča uporabljene prave poverilnice storitvenega računa. |
Napaka pri dostopu do storitve v oblaku. |
Preverite, ali lahko vozlišča dostopajo do strežnikov Webex, kot je določeno v Zahteve za zunanjo povezljivost. |
Podaljšanje registracije storitve v oblaku. |
Registracija v storitvah v oblaku je bila opuščena. Podaljšanje registracije je v teku. |
Registracija storitve v oblaku je padla. |
Registracija v storitve v oblaku je prekinjena. Storitev se zapira. |
Storitev še ni aktivirana. |
Aktivirajte preskusno različico ali dokončajte premik preizkusne različice v produkcijo. |
Konfigurirana domena se ne ujema s potrdilom strežnika. |
Prepričajte se, da se vaše potrdilo strežnika ujema s konfigurirano domeno za aktiviranje storitve. Najverjetnejši vzrok je, da je bilo potrdilo CN nedavno spremenjeno in se zdaj razlikuje od CN, ki je bilo uporabljeno med prvotno nastavitvijo. |
Preverjanje pristnosti v storitvah v oblaku ni uspelo. |
Preverite točnost in morebiten potek poverilnic storitvenega računa. |
Lokalne datoteke shrambe ključev ni bilo mogoče odpreti. |
Preverite celovitost in točnost gesla v datoteki lokalne shrambe ključev. |
Potrdilo lokalnega strežnika ni veljavno. |
Preverite datum veljavnosti strežniškega potrdila in potrdite, da ga je izdal zaupanja vreden overitelj potrdil. |
Ni mogoče objaviti meritev. |
Preverite dostop lokalnega omrežja do zunanjih storitev v oblaku. |
Imenik /media/configdrive/hds ne obstaja. |
Preverite konfiguracijo namestitve ISO na virtualnem gostitelju. Preverite, ali datoteka ISO obstaja, ali je konfigurirana za namestitev ob ponovnem zagonu in ali je uspešno nameščena. |
Odpravljanje težav s hibridno varnostjo podatkov
1 | Preglejte Control Hub za vsa opozorila in popravite vse elemente, ki jih najdete tam. |
2 | Preglejte izhod strežnika syslog za dejavnost razmestitve Hybrid Data Security. |
3 | Kontakt Cisco podpora. |
Znane težave pri hibridni varnosti podatkov
Če zaustavite svojo gručo Hybrid Data Security (tako da jo izbrišete v Control Hubu ali tako, da zaustavite vsa vozlišča), izgubite konfiguracijsko datoteko ISO ali izgubite dostop do baze podatkov shrambe ključev, vaši uporabniki aplikacije Webex ne morejo več uporabljati prostorov pod svojimi Ljudje seznam, ki so bili ustvarjeni s ključi iz vašega KMS. To velja tako za poskusno kot za proizvodno uvedbo. Trenutno nimamo rešitve ali popravka za to težavo in vas pozivamo, da ne zaustavite storitev HDS, ko obravnavajo aktivne uporabniške račune.
Odjemalec, ki ima obstoječo povezavo ECDH s KMS, vzdržuje to povezavo nekaj časa (verjetno eno uro). Ko uporabnik postane član preskusne različice Hybrid Data Security, uporabnikov odjemalec nadaljuje z uporabo obstoječe povezave ECDH, dokler ne poteče čas. Druga možnost je, da se uporabnik odjavi in znova prijavi v aplikacijo Webex App, da posodobi lokacijo, s katero se aplikacija obrne za šifrirne ključe.
Enako vedenje se zgodi, ko preizkus premaknete v proizvodnjo za organizacijo. Vsi uporabniki brez preskusne različice z obstoječimi povezavami ECDH s prejšnjimi storitvami za varnost podatkov bodo še naprej uporabljali te storitve, dokler se povezava ECDH ponovno ne dogovori (prek časovne omejitve ali z odjavo in ponovnim vstopom).
Uporabite OpenSSL za ustvarjanje datoteke PKCS12
Preden začneš
OpenSSL je eno orodje, ki ga lahko uporabite za izdelavo datoteke PKCS12 v ustreznem formatu za nalaganje v orodju za nastavitev HDS. Obstajajo drugi načini za to in ne podpiramo ali spodbujamo enega načina namesto drugega.
Če se odločite za uporabo OpenSSL, ponujamo ta postopek kot smernico za pomoč pri ustvarjanju datoteke, ki izpolnjuje zahteve potrdila X.509 v Zahteve za potrdilo X.509. Razumite te zahteve, preden nadaljujete.
Namestite OpenSSL v podprto okolje. glej https://www.openssl.org za programsko opremo in dokumentacijo.
Ustvari zasebni ključ.
Začnite ta postopek, ko prejmete strežniško potrdilo od svojega overitelja potrdil (CA).
1 | Ko prejmete strežniško potrdilo od službe za potrdila, ga shranite kot |
2 | Prikažite potrdilo kot besedilo in preverite podrobnosti.
|
3 | Z urejevalnikom besedila ustvarite datoteko svežnja potrdil, imenovano
|
4 | Ustvarite datoteko .p12 s prijaznim imenom
|
5 | Preverite podrobnosti potrdila strežnika. |
Kaj storiti naprej
Vrnitev na Izpolnite predpogoje za hibridno varnost podatkov. Uporabili boste hdsnode.p12
datoteko in geslo, ki ste ga nastavili zanjo, v Ustvarite konfiguracijski ISO za gostitelje HDS.
Te datoteke lahko znova uporabite za zahtevo po novem potrdilu, ko prvotno potrdilo poteče. |
Promet med vozlišči HDS in oblakom
Odhodni promet zbiranja meritev
Vozlišča Hybrid Data Security pošiljajo določene meritve v oblak Webex. Ti vključujejo sistemske meritve za največjo kopico, uporabljeno kopico, obremenitev procesorja in število niti; metrike sinhronih in asinhronih niti; meritve za opozorila, ki vključujejo prag šifrirnih povezav, zakasnitev ali dolžino čakalne vrste zahtev; metrike v shrambi podatkov; in meritve šifrirne povezave. Vozlišča pošiljajo šifrirano ključno gradivo prek zunajpasovnega (ločenega od zahteve) kanala.
Dohodni promet
Vozlišča Hybrid Data Security prejemajo naslednje vrste vhodnega prometa iz oblaka Webex:
Zahteve za šifriranje odjemalcev, ki jih usmeri šifrirna storitev
Nadgradnje programske opreme vozlišča
Konfigurirajte posrednike Squid za hibridno varnost podatkov
Websocket se ne more povezati prek proxyja Squid
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice ( wss:
) povezave, ki jih zahteva Hybrid Data Security. Ti razdelki dajejo navodila o tem, kako konfigurirati različne različice Squid za prezrtje wss:
prometa za pravilno delovanje storitev.
Lignji 4 in 5
Dodajte on_unsupported_protocol
direktiva za squid.conf
:
on_unsupported_protocol tunnel all
Lignji 3.5.27
Hibridno varnost podatkov smo uspešno preizkusili z dodanimi naslednjimi pravili squid.conf
. Ta pravila se lahko spremenijo, ko razvijamo funkcije in posodabljamo oblak Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Nove in spremenjene informacije
Datum | Izvedene spremembe | ||
---|---|---|---|
20. oktober 2023 |
| ||
7. avgust 2023 |
| ||
23. maj 2023 |
| ||
6. december 2022 |
| ||
23. november 2022 |
| ||
13. oktober 2021 | Docker Desktop mora zagnati namestitveni program, preden lahko namestite vozlišča HDS. glej Zahteve za namizje Docker. | ||
24. junij 2021 | Upoštevajte, da lahko znova uporabite datoteko zasebnega ključa in CSR, da zahtevate drugo potrdilo. glej Uporabite OpenSSL za ustvarjanje datoteke PKCS12 za podrobnosti. | ||
30. april 2021 | Zahteva VM za lokalni prostor na trdem disku je spremenjena na 30 GB. glej Zahteve za virtualnega gostitelja za podrobnosti. | ||
24. februar 2021 | Orodje za nastavitev HDS lahko zdaj deluje za posrednikom. glej Ustvarite konfiguracijski ISO za gostitelje HDS za podrobnosti. | ||
2. februar 2021 | HDS lahko zdaj deluje brez nameščene datoteke ISO. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti. | ||
11. januar 2021 | Dodane informacije o orodju za nastavitev HDS in proxyjih za Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
13. oktober 2020 | Posodobljeno Prenesite namestitvene datoteke. | ||
8. oktober 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča z ukazi za okolja FedRAMP. | ||
14. avgust 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča s spremembami postopka prijave. | ||
5. avgust 2020 | Posodobljeno Preizkusite svojo hibridno uvedbo varnosti podatkov za spremembe v dnevniških sporočilih. Posodobljeno Zahteve za virtualnega gostitelja da odstranite največje število gostiteljev. | ||
16. junij 2020 | Posodobljeno Odstranite vozlišče za spremembe v uporabniškem vmesniku Control Hub. | ||
4. junij 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS za spremembe v naprednih nastavitvah, ki jih lahko nastavite. | ||
29. maj 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS da pokažete, da lahko TLS uporabljate tudi z bazami podatkov SQL Server, spremembami uporabniškega vmesnika in drugimi pojasnili. | ||
5. maj 2020 | Posodobljeno Zahteve za virtualnega gostitelja za prikaz novih zahtev ESXi 6.5. | ||
21. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z novimi gostitelji CI Amerike. | ||
1. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z informacijami o regionalnih gostiteljih CI. | ||
20. februar 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS z informacijami o novem izbirnem zaslonu z naprednimi nastavitvami v orodju za nastavitev HDS. | ||
4. februar 2020 | Posodobljeno Zahteve za strežnik proxy. | ||
16. december 2019 | Pojasnjena je zahteva za delovanje v načinu blokiranega zunanjega razreševanja DNS Zahteve za strežnik proxy. | ||
19. november 2019 | Dodane informacije o načinu razreševanja blokiranega zunanjega DNS-ja v naslednjih razdelkih: | ||
8. november 2019 | Zdaj lahko konfigurirate omrežne nastavitve za vozlišče med uvajanjem OVA in ne pozneje. Ustrezno posodobljeni naslednji razdelki:
| ||
6. september 2019 | Dodan SQL Server Standard Zahteve za strežnik baze podatkov. | ||
29. avgust 2019 | Dodano Konfigurirajte posrednike Squid za hibridno varnost podatkov dodatek z navodili za konfiguriranje proxyjev Squid, da za pravilno delovanje prezrejo promet spletnih vtičnic. | ||
20. avgust 2019 | Dodani in posodobljeni razdelki za pokrivanje podpore posrednika za komunikacije vozlišča Hybrid Data Security z oblakom Webex. Za dostop samo do podporne vsebine proxyja za obstoječo uvedbo glejte Proxy podpora za Hybrid Data Security in Webex Video Mesh članek za pomoč. | ||
13. junij 2019 | Posodobljeno Potek naloge od preizkusa do proizvodnje z opomnikom za sinhronizacijo HdsTrialGroup predmet skupine pred začetkom preizkusa, če vaša organizacija uporablja sinhronizacijo imenikov. | ||
6. marec 2019 |
| ||
28. februar 2019 |
| ||
26. februar 2019 |
| ||
24. januar 2019 |
| ||
5. november 2018 |
| ||
19. oktober 2018 |
| ||
31. julij 2018 |
| ||
21. maj 2018 | Spremenjena terminologija, ki odraža preimenovanje Cisco Spark:
| ||
11. april 2018 |
| ||
22. februar 2018 |
| ||
15. februar 2018 |
| ||
18. januar 2018 |
| ||
2. november 2017 |
| ||
18. avgust 2017 | Prvič objavljeno |
Pregled varnosti hibridnih podatkov
Od prvega dne je bila varnost podatkov glavni poudarek pri oblikovanju Aplikacija Webex. Temelj te varnosti je šifriranje vsebine od konca do konca, ki ga omogoča Aplikacija Webex stranke, ki komunicirajo s storitvijo upravljanja ključev (KMS). KMS je odgovoren za ustvarjanje in upravljanje kriptografskih ključev, ki jih stranke uporabljajo za dinamično šifriranje in dešifriranje sporočil in datotek.
Privzeto vse Aplikacija Webex stranke dobijo šifriranje od konca do konca z dinamičnimi ključi, shranjenimi v oblaku KMS, v Ciscovem varnostnem področju. Hybrid Data Security premakne KMS in druge funkcije, povezane z varnostjo, v podatkovni center vašega podjetja, tako da nihče drug kot vi nima ključev do vaše šifrirane vsebine.
Arhitektura varnostnega področja
Arhitektura oblaka Webex ločuje različne vrste storitev v ločena področja ali domene zaupanja, kot je prikazano spodaj.
Za nadaljnje razumevanje hibridne varnosti podatkov si najprej oglejmo ta čisti oblak, kjer Cisco zagotavlja vse funkcije v svojem oblaku. Storitev identitete, edino mesto, kjer so uporabniki lahko neposredno povezani z njihovimi osebnimi podatki, kot je e-poštni naslov, je logično in fizično ločena od varnostnega področja v podatkovnem centru B. Oboje je ločeno od področja, kjer je na koncu shranjena šifrirana vsebina. , v podatkovnem centru C.
V tem diagramu je odjemalec aplikacija Webex, ki se izvaja na prenosnem računalniku uporabnika in je bila overjena s storitvijo identitete. Ko uporabnik sestavi sporočilo za pošiljanje v prostor, potekajo naslednji koraki:
Odjemalec vzpostavi varno povezavo s storitvijo za upravljanje ključev (KMS), nato pa zahteva ključ za šifriranje sporočila. Varna povezava uporablja ECDH, KMS pa šifrira ključ z glavnim ključem AES-256.
Sporočilo je šifrirano, preden zapusti odjemalca. Odjemalec ga pošlje storitvi indeksiranja, ki ustvari šifrirane iskalne indekse za pomoč pri prihodnjih iskanjih vsebine.
Šifrirano sporočilo je poslano storitvi skladnosti za preverjanje skladnosti.
Šifrirano sporočilo je shranjeno v območju shranjevanja.
Ko uvedete Hybrid Data Security, premaknete funkcije varnostnega področja (KMS, indeksiranje in skladnost) v vaš lokalni podatkovni center. Druge storitve v oblaku, ki sestavljajo Webex (vključno s shranjevanjem identitete in vsebine), ostajajo v domeni Cisca.
Sodelovanje z drugimi organizacijami
Uporabniki v vaši organizaciji lahko redno uporabljajo aplikacijo Webex za sodelovanje z zunanjimi udeleženci v drugih organizacijah. Ko eden od vaših uporabnikov zahteva ključ za prostor, ki je v lasti vaše organizacije (ker ga je ustvaril eden od vaših uporabnikov), vaš KMS pošlje ključ odjemalcu prek zaščitenega kanala ECDH. Ko pa ima druga organizacija ključ za prostor, vaš KMS usmeri zahtevo v oblak Webex prek ločenega kanala ECDH, da pridobi ključ od ustreznega KMS, in nato vrne ključ vašemu uporabniku na izvirnem kanalu.
Storitev KMS, ki se izvaja v organizaciji A, preverja povezave s KMS-ji v drugih organizacijah z uporabo potrdil x.509 PKI. glej Pripravite svoje okolje za podrobnosti o ustvarjanju potrdila x.509 za uporabo z vašo uvedbo Hybrid Data Security.
Pričakovanja glede uvajanja hibridne varnosti podatkov
Uvedba hibridne varnosti podatkov zahteva veliko predanost strank in zavedanje tveganj, ki jih prinaša posedovanje šifrirnih ključev.
Za uvedbo Hybrid Data Security morate zagotoviti:
Varen podatkovni center v državi, ki je a podprto lokacijo za načrte Cisco Webex Teams.
Oprema, programska oprema in dostop do omrežja, opisani v Pripravite svoje okolje.
Popolna izguba konfiguracije ISO, ki jo zgradite za Hybrid Data Security, ali baze podatkov, ki jo zagotovite, bo povzročila izgubo ključev. Izguba ključa uporabnikom prepreči dešifriranje prostorske vsebine in drugih šifriranih podatkov v aplikaciji Webex. Če se to zgodi, lahko zgradite novo uvedbo, vendar bo vidna samo nova vsebina. Da preprečite izgubo dostopa do podatkov, morate:
Upravljajte varnostno kopiranje in obnovitev baze podatkov in konfiguracije ISO.
Bodite pripravljeni izvesti hitro obnovitev po katastrofi, če pride do katastrofe, kot je okvara diska baze podatkov ali katastrofa podatkovnega centra.
Ni mehanizma za premik ključev nazaj v oblak po uvedbi HDS. |
Postopek namestitve na visoki ravni
Ta dokument pokriva nastavitev in upravljanje uvedbe Hybrid Data Security:
Nastavite hibridno varnost podatkov— To vključuje pripravo zahtevane infrastrukture in namestitev programske opreme Hybrid Data Security, testiranje vaše uvedbe s podnaborom uporabnikov v preskusnem načinu in, ko je vaše testiranje končano, premik v proizvodnjo. To pretvori celotno organizacijo v uporabo vaše Hybrid Data Security gruče za varnostne funkcije.
Faze nastavitve, preizkusa in proizvodnje so podrobno obravnavane v naslednjih treh poglavjih.
Ohranite svojo uvedbo Hybrid Data Security— Oblak Webex samodejno zagotavlja stalne nadgradnje. Vaš IT oddelek lahko zagotovi podporo prve stopnje za to uvedbo in po potrebi vključi podporo Cisco. V Control Hubu lahko uporabite obvestila na zaslonu in nastavite opozorila po e-pošti.
Razumevanje pogostih opozoril, korakov za odpravljanje težav in znanih težav—Če naletite na težave pri uvajanju ali uporabi Hybrid Data Security, vam lahko zadnje poglavje tega vodnika in dodatek Znane težave pomagata ugotoviti in odpraviti težavo.
Hibridni model uvajanja varnosti podatkov
Znotraj podatkovnega centra vašega podjetja namestite Hybrid Data Security kot eno samo gručo vozlišč na ločenih virtualnih gostiteljih. Vozlišča komunicirajo z oblakom Webex prek varnih spletnih vtičnic in varnega HTTP-ja.
Med postopkom namestitve vam zagotovimo datoteko OVA za nastavitev virtualne naprave na VM, ki jih zagotovite. Z orodjem za nastavitev HDS ustvarite datoteko ISO konfiguracije gruče po meri, ki jo namestite na vsako vozlišče. Grozd Hybrid Data Security uporablja strežnik Syslogd, ki ste ga zagotovili, in bazo podatkov PostgreSQL ali Microsoft SQL Server. (Syslogd in podrobnosti o povezavi baze podatkov konfigurirate v orodju za namestitev HDS.)
Najmanjše število vozlišč, ki jih lahko imate v gruči, sta dve. Priporočamo vsaj tri, lahko pa tudi do pet. Če imate več vozlišč, zagotovite, da storitev ni prekinjena med nadgradnjo programske opreme ali drugo vzdrževalno dejavnostjo na vozlišču. (Oblak Webex nadgrajuje samo eno vozlišče naenkrat.)
Vsa vozlišča v gruči dostopajo do iste shrambe ključnih podatkov in beležijo dejavnost v isti strežnik syslog. Sama vozlišča so brez stanja in obravnavajo ključne zahteve na krožni način, po navodilih oblaka.
Vozlišča postanejo aktivna, ko jih registrirate v Control Hub. Če želite posamezno vozlišče izključiti iz uporabe, ga lahko odjavite in pozneje po potrebi znova registrirate.
Podpiramo samo eno gručo na organizacijo.
Preizkusni način hibridne varnosti podatkov
Ko nastavite uvedbo Hybrid Data Security, jo najprej preizkusite z nizom pilotnih uporabnikov. Med preskusnim obdobjem ti uporabniki uporabljajo vašo domeno Hybrid Data Security na mestu uporabe za šifrirne ključe in druge storitve varnostnega področja. Vaši drugi uporabniki še naprej uporabljajo varnostno področje oblaka.
Če se med preskusnim obdobjem odločite, da ne boste nadaljevali z uvajanjem in deaktivirate storitev, bodo pilotni uporabniki in vsi uporabniki, s katerimi so sodelovali z ustvarjanjem novih prostorov med preskusnim obdobjem, izgubili dostop do sporočil in vsebine. V aplikaciji Webex bodo videli »Tega sporočila ni mogoče dešifrirati«.
Če ste zadovoljni, da vaša uvedba dobro deluje za preskusne uporabnike in ste pripravljeni razširiti Hybrid Data Security na vse svoje uporabnike, premaknite uvedbo v produkcijo. Pilotni uporabniki imajo še naprej dostop do ključev, ki so bili v uporabi med preskusom. Vendar se ne morete premikati naprej in nazaj med produkcijskim načinom in prvotnim preskusom. Če morate deaktivirati storitev, na primer za izvedbo obnovitve po katastrofi, morate ob ponovni aktivaciji začeti novo preskusno različico in nastaviti nabor pilotnih uporabnikov za novo preskusno različico, preden se premaknete nazaj v produkcijski način. Ali uporabniki obdržijo dostop do podatkov na tej točki, je odvisno od tega, ali ste uspešno vzdrževali varnostne kopije shrambe ključnih podatkov in konfiguracijske datoteke ISO za vozlišča Hybrid Data Security v vaši gruči.
Podatkovni center v pripravljenosti za obnovitev po katastrofi
Med uvajanjem nastavite varen podatkovni center v pripravljenosti. V primeru katastrofe v podatkovnem centru lahko ročno prekinete svojo uvedbo v podatkovni center v pripravljenosti.
Podatkovne baze aktivnega in rezervnega podatkovnega centra so med seboj sinhronizirane, kar bo zmanjšalo čas, potreben za izvedbo samodejnega preklopa. Datoteka ISO podatkovnega centra v pripravljenosti je posodobljena z dodatnimi konfiguracijami, ki zagotavljajo, da so vozlišča registrirana v organizaciji, vendar ne bodo obravnavala prometa. Tako so vozlišča podatkovnega centra v pripravljenosti vedno posodobljena z najnovejšo različico programske opreme HDS.
Aktivna vozlišča Hybrid Data Security morajo biti vedno v istem podatkovnem centru kot aktivni strežnik baze podatkov. |
Nastavite podatkovni center v pripravljenosti za obnovitev po katastrofi
Za konfiguracijo datoteke ISO podatkovnega centra v pripravljenosti sledite spodnjim korakom:
Preden začneš
Podatkovni center v pripravljenosti bi moral zrcaliti produkcijsko okolje navideznih strojev in rezervno bazo podatkov PostgreSQL ali Microsoft SQL Server. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. (Glej Podatkovni center v pripravljenosti za obnovitev po katastrofi za pregled tega modela samodejnega preklopa.)
Prepričajte se, da je omogočena sinhronizacija baze podatkov med bazo podatkov aktivnih in pasivnih vozlišč gruče.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS.
| ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve strani dodajte spodnjo konfiguracijo, da postavite vozlišče v pasivni način. V tem načinu bo vozlišče registrirano v organizaciji in povezano z oblakom, vendar ne bo obravnavalo prometa.
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
Po konfiguraciji passiveMode
v datoteko ISO in jo shranite, lahko ustvarite drugo kopijo datoteke ISO brez passiveMode
konfiguracijo in jo shranite na varno mesto. Ta kopija datoteke ISO brez passiveMode
konfigurirano lahko pomaga pri hitrem procesu samodejnega preklopa med obnovitvijo po katastrofi. glej Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti za podroben postopek samodejnega preklopa.
Podpora za proxy
Hybrid Data Security podpira eksplicitne, pregledne inšpekcijske in neinšpekcijske posrednike. Te posrednike lahko povežete s svojo uvedbo, tako da lahko zavarujete in spremljate promet iz podjetja v oblak. Skrbniški vmesnik platforme lahko uporabite na vozliščih za upravljanje potrdil in za preverjanje splošnega stanja povezljivosti, potem ko nastavite proxy na vozliščih.
Vozlišča Hybrid Data Security podpirajo naslednje možnosti posrednika:
Brez posrednika— Privzeto, če za integracijo proxyja ne uporabljate nastavitve vozlišča HDS Trust Store & Proxy. Posodobitev potrdila ni potrebna.
Transparenten proxy brez nadzora— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy in ne bi smela zahtevati nobenih sprememb za delo s proxyjem, ki ne preverja. Posodobitev potrdila ni potrebna.
Transparentni proxy za tuneliranje ali pregledovanje— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy. Na vozliščih niso potrebne spremembe konfiguracije HTTP ali HTTPS. Vendar vozlišča potrebujejo korensko potrdilo, da zaupajo proxyju. Inspecting proxy običajno uporablja IT za uveljavljanje pravilnikov o tem, katera spletna mesta je mogoče obiskati in katere vrste vsebine niso dovoljene. Ta vrsta proxyja dešifrira ves vaš promet (tudi HTTPS).
Eksplicitni posrednik— Z eksplicitnim proxy vozliščem HDS poveste, kateri strežnik proxy in shemo preverjanja pristnosti naj uporabijo. Če želite konfigurirati eksplicitni proxy, morate v vsako vozlišče vnesti naslednje informacije:
Proxy IP/FQDN—Naslov, ki ga je mogoče uporabiti za dostop do proxy naprave.
Proxy vrata—Številka vrat, ki jih proxy uporablja za poslušanje prometa prek posrednika.
Proxy protokol—Glede na to, kaj podpira vaš proxy strežnik, izberite med naslednjimi protokoli:
HTTP—Ogleda in nadzoruje vse zahteve, ki jih pošlje odjemalec.
HTTPS—zagotavlja kanal strežniku. Odjemalec prejme in potrdi potrdilo strežnika.
Vrsta avtentikacije—Izbirajte med naslednjimi vrstami preverjanja pristnosti:
Noben— Nadaljnje preverjanje pristnosti ni potrebno.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Osnovno—Uporablja se za uporabniškega agenta HTTP, da zagotovi uporabniško ime in geslo, ko poda zahtevo. Uporablja kodiranje Base64.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
prebaviti— Uporablja se za potrditev računa pred pošiljanjem občutljivih informacij. Uporabi zgoščeno funkcijo za uporabniško ime in geslo pred pošiljanjem po omrežju.
Na voljo samo, če izberete HTTPS kot posredniški protokol.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
Primer vozlišč hibridne varnosti podatkov in posrednika
Ta diagram prikazuje primer povezave med Hybrid Data Security, omrežjem in proxyjem. Za možnosti transparentnega pregledovanja in eksplicitnega pregledovanja HTTPS proxy mora biti isto korensko potrdilo nameščeno na proxyju in vozliščih Hybrid Data Security.
Blokiran zunanji način reševanja DNS (eksplicitne konfiguracije proxyja)
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Pri uvedbah z eksplicitnimi konfiguracijami posrednika, ki ne dovoljujejo zunanjega razreševanja DNS za notranje odjemalce, če vozlišče ne more poizvedovati po strežnikih DNS, samodejno preide v način blokiranega zunanjega razreševanja DNS. V tem načinu se lahko nadaljuje registracija vozlišča in drugi testi povezljivosti posrednika.
Zahteve za hibridno varnost podatkov
Licenčne zahteve za Cisco Webex
Če želite uvesti Hybrid Data Security:
Za Cisco Webex Control Hub morate imeti Pro Pack. (Glej https://www.cisco.com/go/pro-pack.)
Zahteve za namizje Docker
Preden namestite vozlišča HDS, potrebujete Docker Desktop za zagon namestitvenega programa. Docker je nedavno posodobil svoj model licenciranja. Vaša organizacija morda zahteva plačljivo naročnino za Docker Desktop. Za podrobnosti si oglejte objavo v spletnem dnevniku Docker, " Docker posodablja in podaljšuje naše naročnine na izdelke".
Zahteve za potrdilo X.509
Certifikacijska veriga mora izpolnjevati naslednje zahteve:
Zahteva | Podrobnosti |
---|---|
| Privzeto zaupamo CA-jem na seznamu Mozilla (z izjemo WoSign in StartCom) na https://wiki.mozilla.org/CA:IncludedCAs. |
| Ni treba, da je CN dosegljiv ali gostitelj v živo. Priporočamo, da uporabite ime, ki odraža vašo organizacijo, na primer KN ne sme vsebovati * (nadomestni znak). CN se uporablja za preverjanje vozlišč Hybrid Data Security za odjemalce aplikacije Webex. Vsa vozlišča Hybrid Data Security v vaši gruči uporabljajo isto potrdilo. Vaš KMS se identificira z uporabo domene CN, ne katere koli domene, ki je definirana v poljih SAN x.509v3. Ko registrirate vozlišče s tem potrdilom, ne podpiramo spreminjanja imena domene CN. Izberite domeno, ki se lahko uporablja za preskusno in produkcijsko uvedbo. |
| Programska oprema KMS ne podpira podpisov SHA1 za preverjanje povezav s KMS-ji drugih organizacij. |
| Za spremembo oblike potrdila lahko uporabite pretvornik, kot je OpenSSL. Ko zaženete orodje za nastavitev HDS, boste morali vnesti geslo. |
Programska oprema KMS ne uveljavlja uporabe ključev ali razširjenih omejitev uporabe ključev. Nekateri overitelji potrdil zahtevajo, da se za vsako potrdilo uporabijo razširjene omejitve uporabe ključa, na primer preverjanje pristnosti strežnika. V redu je, če uporabite avtentikacijo strežnika ali druge nastavitve.
Zahteve za virtualnega gostitelja
Navidezni gostitelji, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči, imajo naslednje zahteve:
Vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru
VMware ESXi 6.5 (ali novejši) nameščen in deluje.
Če imate starejšo različico ESXi, morate nadgraditi.
Najmanj 4 vCPU-ji, 8 GB glavnega pomnilnika, 30 GB lokalnega prostora na trdem disku na strežnik
Zahteve za strežnik baze podatkov
Ustvarite novo bazo podatkov za shranjevanje ključev. Ne uporabljajte privzete zbirke podatkov. Ko so nameščene aplikacije HDS, ustvarijo shemo baze podatkov. |
Obstajata dve možnosti za strežnik baze podatkov. Zahteve za vsakega so naslednje:
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) | Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) |
Programska oprema HDS trenutno namesti naslednje različice gonilnikov za komunikacijo s strežnikom baze podatkov:
PostgreSQL | Microsoft SQL Server |
---|---|
Gonilnik Postgres JDBC 42.2.5 | Gonilnik SQL Server JDBC 4.6 Ta različica gonilnika podpira SQL Server Always On ( Always On Failover Cluster Instances in Skupine razpoložljivosti Always On). |
Dodatne zahteve za preverjanje pristnosti sistema Windows proti strežniku Microsoft SQL Server
Če želite, da vozlišča HDS uporabljajo preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev v strežniku Microsoft SQL Server, potrebujete naslednjo konfiguracijo v svojem okolju:
Vozlišča HDS, infrastruktura Active Directory in MS SQL Server morajo biti vsi sinhronizirani z NTP.
Račun Windows, ki ga zagotovite vozliščem HDS, mora imeti dostop za branje/pisanje do baze podatkov.
Strežniki DNS, ki jih zagotovite vozliščem HDS, morajo imeti možnost razrešiti vaš center za distribucijo ključev (KDC).
Primerek baze podatkov HDS lahko registrirate na strežniku Microsoft SQL Server kot glavno ime storitve (SPN) v imeniku Active Directory. glej Registrirajte glavno ime storitve za povezave Kerberos.
Orodje za nastavitev HDS, zaganjalnik HDS in lokalni KMS morajo uporabljati preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev. Uporabijo podrobnosti iz vaše konfiguracije ISO za izdelavo SPN, ko zahtevajo dostop s preverjanjem pristnosti Kerberos.
Zahteve za zunanjo povezljivost
Konfigurirajte požarni zid, da bo omogočal naslednje povezave za aplikacije HDS:
Aplikacija | Protokol | Pristanišče | Smer iz App | Destinacija |
---|---|---|---|---|
Hibridna varnostna vozlišča podatkov | TCP | 443 | Odhodni HTTPS in WSS |
|
Orodje za nastavitev HDS | TCP | 443 | Odhodni HTTPS |
|
Vozlišča Hybrid Data Security delujejo s prevajanjem omrežnega dostopa (NAT) ali za požarnim zidom, če NAT ali požarni zid omogoča zahtevane odhodne povezave do ciljev domene v prejšnji tabeli. Za povezave, ki potekajo vhodno do vozlišč Hybrid Data Security, iz interneta ne smejo biti vidna nobena vrata. V vašem podatkovnem centru odjemalci potrebujejo dostop do vozlišč Hybrid Data Security na vratih TCP 443 in 22 za administrativne namene. |
URL-ji za gostitelje skupne identitete (CI) so specifični za regijo. To so trenutni gostitelji CI:
Regija | URL-ji gostitelja skupne identitete |
---|---|
Amerike |
|
Evropska unija |
|
Kanada |
|
Zahteve za strežnik proxy
Uradno podpiramo naslednje rešitve proxy, ki se lahko integrirajo z vašimi vozlišči Hybrid Data Security.
Transparent proxy—Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice (wss:) povezave. Če se želite izogniti tej težavi, glejte Konfigurirajte posrednike Squid za hibridno varnost podatkov.
Podpiramo naslednje kombinacije vrst preverjanja pristnosti za eksplicitne posrednike:
Ni avtentikacije s HTTP ali HTTPS
Osnovna avtentikacija s HTTP ali HTTPS
Pregled pristnosti samo s HTTPS
Za proxy proxy za pregledovanje ali eksplicitni proxy HTTPS morate imeti kopijo korenskega potrdila proxyja. Navodila za uvajanje v tem priročniku vam povejo, kako naložite kopijo v skrbniške shrambe vozlišč Hybrid Data Security.
Omrežje, ki gosti vozlišča HDS, mora biti konfigurirano tako, da prisili izhodni promet TCP na vratih 443, da se usmeri prek proxyja.
Posredniki, ki pregledujejo spletni promet, lahko motijo povezave s spletnimi vtičnicami. Če pride do te težave, obide (brez pregleda) promet do
wbx2.com
inciscospark.com
bo rešil problem.
Izpolnite predpogoje za hibridno varnost podatkov
1 | Prepričajte se, da je vaša organizacija Webex omogočena za Pro Pack za Cisco Webex Control Hub in pridobite poverilnice računa s polnimi skrbniškimi pravicami organizacije. Za pomoč pri tem postopku se obrnite na svojega Ciscovega partnerja ali upravitelja računa. | ||
2 | Izberite ime domene za svojo uvedbo HDS (npr. | ||
3 | Pripravite enake navidezne gostitelje, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči. Potrebujete vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru, ki izpolnjujeta zahteve v Zahteve za virtualnega gostitelja. | ||
4 | Pripravite strežnik baze podatkov, ki bo deloval kot shramba ključnih podatkov za gručo, v skladu z Zahteve za strežnik baze podatkov. Strežnik baze podatkov mora biti nameščen v varnem podatkovnem centru skupaj z virtualnimi gostitelji. | ||
5 | Za hitro obnovitev po katastrofi nastavite varnostno okolje v drugem podatkovnem centru. Okolje za varnostno kopiranje zrcali produkcijsko okolje navideznih strojev in strežnik baze podatkov za varnostno kopiranje. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. | ||
6 | Nastavite gostitelja sistemskega dnevnika za zbiranje dnevnikov iz vozlišč v gruči. Zberite njegov omrežni naslov in vrata sistemskega dnevnika (privzeto je UDP 514). | ||
7 | Ustvarite politiko varnega varnostnega kopiranja za vozlišča Hybrid Data Security, strežnik baze podatkov in gostitelja sistemskega dnevnika. Če želite preprečiti nepopravljivo izgubo podatkov, morate najmanj varnostno kopirati bazo podatkov in konfiguracijsko datoteko ISO, ustvarjeno za vozlišča Hybrid Data Security.
Odjemalci aplikacije Webex shranjujejo svoje ključe v predpomnilnik, zato izpad morda ne bo takoj opazen, vendar bo sčasoma očiten. Čeprav je začasnih izpadov nemogoče preprečiti, jih je mogoče obnoviti. Vendar bo popolna izguba (razpoložljivih varnostnih kopij) baze podatkov ali konfiguracijske datoteke ISO povzročila nepopravljivost podatkov o strankah. Od operaterjev vozlišč Hybrid Data Security se pričakuje, da bodo vzdrževali pogoste varnostne kopije baze podatkov in konfiguracijske datoteke ISO ter da bodo pripravljeni na ponovno izgradnjo podatkovnega centra Hybrid Data Security, če pride do katastrofalne okvare. | ||
8 | Zagotovite, da vaša konfiguracija požarnega zidu omogoča povezljivost za vozlišča Hybrid Data Security, kot je opisano v Zahteve za zunanjo povezljivost. | ||
9 | Namestite Docker ( https://www.docker.com) na katerem koli lokalnem računalniku s podprtim OS (Microsoft Windows 10 Professional ali Enterprise 64-bit ali Mac OSX Yosemite 10.10.3 ali novejši) s spletnim brskalnikom, ki lahko dostopa do njega na http://127.0.0.1:8080. Primerek Docker uporabite za prenos in zagon orodja za nastavitev HDS, ki gradi lokalne konfiguracijske informacije za vsa vozlišča Hybrid Data Security. Vaša organizacija morda potrebuje licenco Docker Desktop. glej Zahteve za namizje Docker za več informacij. Če želite namestiti in zagnati orodje za nastavitev HDS, mora imeti lokalni računalnik povezljivost, opisano v Zahteve za zunanjo povezljivost. | ||
10 | Če integrirate proxy s Hybrid Data Security, se prepričajte, da ustreza Zahteve za strežnik proxy. | ||
11 | Če vaša organizacija uporablja sinhronizacijo imenikov, ustvarite skupino v imeniku Active Directory, imenovano
|
Potek opravila uvajanja hibridne varnosti podatkov
Preden začneš
1 | Prenesite namestitvene datoteke Prenesite datoteko OVA na svoj lokalni računalnik za kasnejšo uporabo. | ||
2 | Ustvarite konfiguracijski ISO za gostitelje HDS Z orodjem za nastavitev HDS ustvarite konfiguracijsko datoteko ISO za vozlišča Hybrid Data Security. | ||
3 |
Ustvarite virtualni stroj iz datoteke OVA in izvedite začetno konfiguracijo, kot so omrežne nastavitve.
| ||
4 | Nastavite Hybrid Data Security VM Prijavite se v konzolo VM in nastavite poverilnice za prijavo. Konfigurirajte omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA. | ||
5 | Naložite in namestite ISO konfiguracije HDS Konfigurirajte VM iz konfiguracijske datoteke ISO, ki ste jo ustvarili z orodjem za namestitev HDS. | ||
6 | Konfigurirajte vozlišče HDS za integracijo posrednika Če omrežno okolje zahteva konfiguracijo proxyja, podajte vrsto proxyja, ki ga boste uporabili za vozlišče, in po potrebi dodajte potrdilo proxyja v shrambo zaupanja. | ||
7 | Registrirajte prvo vozlišče v gruči Registrirajte VM v oblaku Cisco Webex kot Hybrid Data Security node. | ||
8 | Ustvarite in registrirajte več vozlišč Dokončajte nastavitev gruče. | ||
9 | Izvedite preizkus in se premaknite v produkcijo (naslednje poglavje) Dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana. |
Prenesite namestitvene datoteke
1 | Prijavite se v https://admin.webex.comin nato kliknite Storitve. | ||||
2 | V razdelku Hybrid Services poiščite kartico Hybrid Data Security in kliknite Nastaviti. Če je kartica onemogočena ali je ne vidite, se obrnite na skupino za račun ali partnersko organizacijo. Dajte jim svojo številko računa in jih prosite, da vaši organizaciji omogočijo hibridno varnost podatkov. Če želite poiskati številko računa, kliknite zobnik v zgornjem desnem kotu poleg imena vaše organizacije.
| ||||
3 | Izberite št da označite, da vozlišča še niste nastavili, in nato kliknite Naslednji. Datoteka OVA se samodejno začne prenašati. Datoteko shranite na mesto v vašem računalniku.
| ||||
4 | Po želji kliknite Odprite vodnik za uvajanje da preverite, ali je na voljo novejša različica tega priročnika. |
Ustvarite konfiguracijski ISO za gostitelje HDS
Postopek nastavitve Hybrid Data Security ustvari datoteko ISO. Nato uporabite ISO za konfiguracijo gostitelja Hybrid Data Security.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v koraku 5. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska datoteka ISO, ki jo ustvarite, vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. Najnovejšo kopijo te datoteke potrebujete vsakič, ko spremenite konfiguracijo, kot je ta:
Poverilnice baze podatkov
Posodobitve potrdil
Spremembe politike avtorizacije
Če nameravate šifrirati povezave z bazo podatkov, nastavite svojo uvedbo PostgreSQL ali SQL Server za TLS.
1 | V ukazno vrstico vašega računalnika vnesite ustrezen ukaz za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
2 | Za vpis v register slik Docker vnesite naslednje:
| ||||||||||||
3 | Ob pozivu za geslo vnesite to zgoščeno vrednost:
| ||||||||||||
4 | Prenesite najnovejšo stabilno sliko za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
5 | Ko je vlečenje končano, vnesite ustrezen ukaz za vaše okolje:
Ko se vsebnik izvaja, vidite »Strežnik Express posluša na vratih 8080«. | ||||||||||||
6 |
Uporabite spletni brskalnik za dostop do lokalnega gostitelja, Orodje uporabi ta prvi vnos uporabniškega imena za nastavitev ustreznega okolja za ta račun. Orodje nato prikaže standardni poziv za prijavo. | ||||||||||||
7 | Ko ste pozvani, vnesite poverilnice za prijavo skrbnika stranke Control Hub in kliknite Vpiši se da omogočite dostop do zahtevanih storitev za Hybrid Data Security. | ||||||||||||
8 | Na strani s pregledom orodja za nastavitev kliknite Začeti. | ||||||||||||
9 | Na ISO uvoz strani, imate te možnosti:
| ||||||||||||
10 | Preverite, ali vaše potrdilo X.509 izpolnjuje zahteve v Zahteve za potrdilo X.509.
| ||||||||||||
11 | Vnesite naslov baze podatkov in račun za HDS za dostop do shrambe ključnih podatkov: | ||||||||||||
12 | Izberite a Način povezave z bazo podatkov TLS:
Ko naložite korensko potrdilo (če je potrebno) in kliknite Nadaljuj, orodje za nastavitev HDS preizkusi povezavo TLS s strežnikom baze podatkov. Orodje preveri tudi podpisnika potrdila in ime gostitelja, če je na voljo. Če preizkus ne uspe, orodje prikaže sporočilo o napaki, ki opisuje težavo. Izberete lahko, ali želite napako prezreti in nadaljevati z nastavitvijo. (Zaradi razlik v povezljivosti bodo vozlišča HDS morda lahko vzpostavila povezavo TLS, tudi če naprava z orodjem za nastavitev HDS tega ne more uspešno preizkusiti.) | ||||||||||||
13 | Na strani Sistemski dnevniki konfigurirajte strežnik Syslogd: | ||||||||||||
14 | (Izbirno) Spremenite lahko privzeto vrednost za nekatere parametre povezave z bazo podatkov v Napredne nastavitve. Na splošno je ta parameter edini, ki bi ga morda želeli spremeniti:
| ||||||||||||
15 | Kliknite Nadaljuj na Ponastavite geslo za storitvene račune zaslon. Gesla storitvenih računov imajo življenjsko dobo devet mesecev. Uporabite ta zaslon, ko se vaša gesla bližajo izteku ali jih želite ponastaviti, da razveljavi prejšnje datoteke ISO. | ||||||||||||
16 | Kliknite Prenesite datoteko ISO. Datoteko shranite na mesto, ki ga je enostavno najti. | ||||||||||||
17 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||||||||||||
18 | Če želite zaustaviti orodje za nastavitev, vnesite |
Kaj storiti naprej
Varnostno kopirajte konfiguracijsko datoteko ISO. Potrebujete ga za ustvarjanje več vozlišč za obnovitev ali za spreminjanje konfiguracije. Če izgubite vse kopije datoteke ISO, ste izgubili tudi glavni ključ. Obnovitev ključev iz baze podatkov PostgreSQL ali Microsoft SQL Server ni mogoča.
Nikoli nimamo kopije tega ključa in vam ne moremo pomagati, če ga izgubite. |
Namestite HDS Host OVA
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v navideznega gostitelja ESXi. | ||||||
2 | Izberite mapa > Namestite predlogo OVF. | ||||||
3 | V čarovniku določite lokacijo datoteke OVA, ki ste jo prej prenesli, in nato kliknite Naslednji . | ||||||
4 | Na Izberite ime in mapo strani vnesite a Ime navideznega stroja za vozlišče (na primer "HDS_node_1"), izberite lokacijo, kjer je lahko uvedba vozlišča navideznega stroja, in nato kliknite Naslednji . | ||||||
5 | Na Izberite računalniški vir izberite ciljni računalniški vir in kliknite Naslednji . Zažene se preverjanje veljavnosti. Ko se konča, se prikažejo podrobnosti predloge. | ||||||
6 | Preverite podrobnosti predloge in kliknite Naslednji. | ||||||
7 | Če ste pozvani, da izberete konfiguracijo vira na Konfiguracija strani, kliknite 4 procesor in nato kliknite Naslednji . | ||||||
8 | Na Izberite shranjevanje strani, kliknite Naslednji da sprejmete privzeti format diska in politiko shranjevanja VM. | ||||||
9 | Na Izberite omrežja izberite omrežno možnost s seznama vnosov, da zagotovite želeno povezljivost z VM. | ||||||
10 | Na Prilagodite predlogo strani, konfigurirajte naslednje omrežne nastavitve:
Če želite, lahko preskočite konfiguracijo omrežnih nastavitev in sledite korakom v Nastavite Hybrid Data Security VM da konfigurirate nastavitve iz konzole vozlišča.
| ||||||
11 | Z desno miškino tipko kliknite vozlišče VM in nato izberite .Programska oprema Hybrid Data Security je nameščena kot gost na gostitelju VM. Zdaj ste pripravljeni, da se prijavite v konzolo in konfigurirate vozlišče. Nasveti za odpravljanje težav Preden se vsebniki vozlišč prikažejo, lahko pride do nekajminutne zamude. Med prvim zagonom se na konzoli pojavi sporočilo mostnega požarnega zidu, med katerim se ne morete prijaviti. |
Nastavite Hybrid Data Security VM
S tem postopkom se prvič prijavite v konzolo VM vozlišča Hybrid Data Security in nastavite poverilnice za prijavo. S konzolo lahko konfigurirate tudi omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA.
1 | V odjemalcu VMware vSphere izberite VM vozlišča Hybrid Data Security in izberite Konzola zavihek. VM se zažene in prikaže se poziv za prijavo. Če se poziv za prijavo ne prikaže, pritisnite Vnesite.
|
2 | Za prijavo in spremembo poverilnic uporabite naslednjo privzeto prijavo in geslo: Ker se v svoj VM vpisujete prvič, morate spremeniti skrbniško geslo. |
3 | Če ste že konfigurirali omrežne nastavitve v Namestite HDS Host OVA, preskočite preostanek tega postopka. V nasprotnem primeru v glavnem meniju izberite Uredi konfiguracijo možnost. |
4 | Nastavite statično konfiguracijo z informacijami o naslovu IP, maski, prehodu in DNS. Vaše vozlišče mora imeti notranji naslov IP in ime DNS. DHCP ni podprt. |
5 | (Izbirno) Spremenite ime gostitelja, domeno ali strežnike NTP, če je potrebno, da se ujemajo z vašo omrežno politiko. Ni vam treba nastaviti domene, da se ujema z domeno, ki ste jo uporabili za pridobitev potrdila X.509. |
6 | Shranite omrežno konfiguracijo in znova zaženite VM, da bodo spremembe začele veljati. |
Naložite in namestite ISO konfiguracije HDS
Preden začneš
Ker datoteka ISO vsebuje glavni ključ, jo je treba razkriti samo na podlagi "potrebe vedeti" za dostop navideznih računalnikov Hybrid Data Security in vseh skrbnikov, ki bodo morda morali narediti spremembe. Prepričajte se, da imajo samo ti skrbniki dostop do shrambe podatkov.
1 | Naložite datoteko ISO iz računalnika: |
2 | Namestite datoteko ISO: |
Kaj storiti naprej
Če vaša politika IT zahteva, lahko po želji odklopite datoteko ISO, potem ko vsa vaša vozlišča prevzamejo spremembe konfiguracije. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti.
Konfigurirajte vozlišče HDS za integracijo posrednika
Če omrežno okolje zahteva proxy, s tem postopkom določite vrsto proxyja, s katerim se želite integrirati Hibridna varnost podatkov. Če izberete proxy proxy za pregledovanje ali eksplicitni proxy HTTPS, lahko uporabite vmesnik vozlišča za nalaganje in namestitev korenskega potrdila. Povezavo proxy lahko preverite tudi prek vmesnika in odpravite morebitne težave.
Preden začneš
glej Podpora za proxy za pregled podprtih možnosti proxyja.
1 | Vnesite URL za nastavitev vozlišča HDS |
2 | Pojdi do Trust Store & Proxyin nato izberite možnost:
Sledite naslednjim korakom za pregleden proxy za pregledovanje, eksplicitni proxy HTTP z osnovnim preverjanjem pristnosti ali eksplicitni proxy HTTPS. |
3 | Kliknite Naložite korensko potrdilo ali potrdilo končne entitete, nato pa se pomaknite do izbire korenskega potrdila za proxy. Potrdilo je naloženo, vendar še ni nameščeno, ker morate za namestitev potrdila znova zagnati vozlišče. Kliknite puščico ševrona ob imenu izdajatelja potrdila, da dobite več podrobnosti ali kliknite Izbriši če ste se zmotili in želite znova naložiti datoteko. |
4 | Kliknite Preverite povezavo proxy da preizkusite omrežno povezljivost med vozliščem in posrednikom. Če preizkus povezave ne uspe, boste videli sporočilo o napaki, ki prikazuje razlog in kako lahko odpravite težavo. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS. Ta pogoj je pričakovan v številnih eksplicitnih konfiguracijah proxyja. Lahko nadaljujete z nastavitvijo in vozlišče bo delovalo v načinu blokirane zunanje ločljivosti DNS. Če menite, da je to napaka, dokončajte te korake in si oglejte Izklopite način razreševanja blokiranega zunanjega DNS-ja. |
5 | Ko je preskus povezave uspešen, za eksplicitni proxy, nastavljen samo na https, preklopite stikalo na Usmerite vse https zahteve vrat 443/444 iz tega vozlišča prek eksplicitnega proxyja. Ta nastavitev začne veljati po 15 sekundah. |
6 | Kliknite Namestite vsa potrdila v Trust Store (prikaže se za eksplicitni proxy HTTPS ali pregledni proxy za preverjanje) ali Znova zaženite (prikaže se za eksplicitni proxy HTTP), preberite poziv in kliknite Namestite če si pripravljen. Vozlišče se znova zažene v nekaj minutah. |
7 | Ko se vozlišče znova zažene, se po potrebi znova vpišite in nato odprite Pregled strani, da preverite preverjanja povezljivosti in se prepričate, ali so vsi v zelenem stanju. Preverjanje povezave posrednika testira samo poddomeno webex.com. Če pride do težav s povezljivostjo, je pogosta težava, da so nekatere domene v oblaku, navedene v navodilih za namestitev, blokirane na strežniku proxy. |
Registrirajte prvo vozlišče v gruči
Ko registrirate svoje prvo vozlišče, ustvarite gručo, ki ji je vozlišče dodeljeno. Grozd vsebuje eno ali več vozlišč, nameščenih za zagotavljanje redundance.
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Prijavite se v https://admin.webex.com. |
2 | V meniju na levi strani zaslona izberite Storitve. |
3 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite Nastaviti. Prikaže se stran Register Hybrid Data Security Node.
|
4 | Izberite ja da označite, da ste nastavili vozlišče in ste ga pripravljeni registrirati, in nato kliknite Naslednji. |
5 | V prvo polje vnesite ime za gručo, ki ji želite dodeliti vozlišče Hybrid Data Security. Priporočamo, da gručo poimenujete glede na to, kje se geografsko nahajajo vozlišča gruče. Primeri: "San Francisco" ali "New York" ali "Dallas" |
6 | V drugo polje vnesite notranji naslov IP ali popolnoma kvalificirano ime domene (FQDN) svojega vozlišča in kliknite Naslednji. Ta naslov IP ali FQDN se mora ujemati z naslovom IP ali imenom gostitelja in domeno, ki ste jo uporabili Nastavite Hybrid Data Security VM. Prikaže se sporočilo, ki nakazuje, da lahko svoje vozlišče registrirate v Webex.
|
7 | Kliknite Pojdite na Node. |
8 | Kliknite Nadaljuj v opozorilnem sporočilu. Po nekaj trenutkih ste preusmerjeni na teste povezljivosti vozlišča za storitve Webex. Če so vsi preizkusi uspešni, se prikaže stran Dovoli dostop do vozlišča Hybrid Data Security Node. Tam potrdite, da želite svoji organizaciji Webex dati dovoljenja za dostop do vašega vozlišča.
|
9 | Preverite Dovolite dostop do vašega vozlišča Hybrid Data Security Node potrditveno polje in nato kliknite Nadaljuj. Vaš račun je potrjen in sporočilo »Registracija je dokončana« nakazuje, da je vaše vozlišče zdaj registrirano v oblaku Webex.
|
10 | Kliknite povezavo ali zaprite zavihek, da se vrnete na stran Hybrid Data Security Control Hub. Na Hibridna varnost podatkov stran, se prikaže nova gruča, ki vsebuje vozlišče, ki ste ga registrirali. Vozlišče bo samodejno preneslo najnovejšo programsko opremo iz oblaka.
|
Ustvarite in registrirajte več vozlišč
Trenutno so varnostni VM-ji, ki ste jih ustvarili v Izpolnite predpogoje za hibridno varnost podatkov so gostitelji v pripravljenosti, ki se uporabljajo samo v primeru obnovitve po katastrofi; do takrat niso registrirani v sistemu. Za podrobnosti glejte Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti. |
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Ustvarite nov virtualni stroj iz OVA in ponovite korake Namestite HDS Host OVA. |
2 | Nastavite začetno konfiguracijo na novem VM in ponovite korake v Nastavite Hybrid Data Security VM. |
3 | Na novem VM ponovite korake v Naložite in namestite ISO konfiguracije HDS. |
4 | Če nastavljate proxy za svojo uvedbo, ponovite korake v Konfigurirajte vozlišče HDS za integracijo posrednika kot je potrebno za novo vozlišče. |
5 | Registrirajte vozlišče. Vaše vozlišče je registrirano. Upoštevajte, da dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana.
|
Kaj storiti naprej
Potek naloge od poskusa do proizvodnje
Ko nastavite gručo Hybrid Data Security, lahko zaženete pilotni projekt, vanj dodate uporabnike in ga začnete uporabljati za preizkušanje in preverjanje vaše uvedbe v pripravah na selitev v proizvodnjo.
Preden začneš
1 | Če je primerno, sinhronizirajte Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati |
2 |
Začni poskus. Dokler ne opravite te naloge, vaša vozlišča ustvarijo alarm, ki nakazuje, da storitev še ni aktivirana. |
3 | Preizkusite svojo hibridno uvedbo varnosti podatkov Preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
4 | Spremljajte varnost hibridnih podatkov Preverite stanje in nastavite e-poštna obvestila za alarme. |
5 | |
6 | Dokončajte preskusno fazo z enim od naslednjih dejanj: |
Aktiviraj preizkus
Preden začneš
Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati HdsTrialGroup
predmet skupine za sinhronizacijo z oblakom, preden lahko začnete preskusno obdobje za svojo organizacijo. Za navodila glejte Vodnik za uvajanje za Cisco Directory Connector.
1 | Prijavite se v https://admin.webex.comin nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Začni preizkus. Stanje storitve se spremeni v poskusni način.
|
4 | Kliknite Dodajanje uporabnikov in vnesite e-poštni naslov enega ali več uporabnikov za poskusno uporabo vozlišč Hybrid Data Security za storitve šifriranja in indeksiranja. (Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory za upravljanje poskusne skupine, |
Preizkusite svojo hibridno uvedbo varnosti podatkov
Preden začneš
Nastavite svojo uvedbo Hybrid Data Security.
Aktivirajte preskusno različico in dodajte več poskusnih uporabnikov.
Prepričajte se, da imate dostop do sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security.
1 | Ključe za določen prostor nastavi ustvarjalec prostora. Prijavite se v aplikacijo Webex kot eden od pilotnih uporabnikov, nato pa ustvarite prostor in povabite vsaj enega pilotnega uporabnika in enega nepilotnega uporabnika.
| ||
2 | Pošljite sporočila v novi prostor. | ||
3 | Preverite izhod sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
Spremljajte varnost hibridnih podatkov
1 | notri Nadzorno središče, izberite Storitve iz menija na levi strani zaslona. |
2 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite nastavitve. Prikaže se stran z nastavitvami hibridne varnosti podatkov.
|
3 | V razdelku E-poštna obvestila vnesite enega ali več e-poštnih naslovov, ločenih z vejicami, in pritisnite Vnesite. |
Dodajte ali odstranite uporabnike iz svojega preizkusa
Če odstranite uporabnika iz preizkusa, bo uporabnikov odjemalec zahteval ključe in ustvarjanje ključa iz oblaka KMS namesto vašega KMS. Če odjemalec potrebuje ključ, ki je shranjen na vašem KMS, ga bo KMS v oblaku pridobil v imenu uporabnika.
Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory (namesto tega postopka) za upravljanje poskusne skupine, HdsTrialGroup
; člane skupine si lahko ogledate v Nadzornem središču, vendar jih ne morete dodati ali odstraniti.
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Preizkusni način v območju Stanje storitve kliknite Dodajanje uporabnikov, ali kliknite ogled in urejanje za odstranitev uporabnikov iz preizkusa. |
4 | Vnesite e-poštni naslov enega ali več uporabnikov, ki jih želite dodati, ali kliknite X z ID-jem uporabnika, da uporabnika odstranite iz preizkusa. Nato kliknite Shrani. |
Premaknite se s preskusne različice na produkcijsko
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Premakni se v proizvodnjo. |
4 | Potrdite, da želite vse svoje uporabnike premakniti v produkcijo. |
Končajte preizkus, ne da bi se preselili v proizvodnjo
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Deaktiviraj kliknite Deaktiviraj. |
4 | Potrdite, da želite deaktivirati storitev in končati preskusno obdobje. |
Upravljanje uvajanja HDS
Uporabite tukaj opisane naloge za upravljanje svoje razmestitve Hybrid Data Security.
Nastavite urnik nadgradnje gruče
Če želite nastaviti urnik nadgradnje:
1 | Prijavite se v Nadzorno središče. |
2 | Na strani Pregled v razdelku Hibridne storitve izberite Hibridna varnost podatkov. |
3 | Na strani Viri za varnost hibridnih podatkov izberite gručo. |
4 | Na plošči Pregled na desni v razdelku Nastavitve gruče izberite ime gruče. |
5 | Na strani z nastavitvami v razdelku Nadgradnja izberite čas in časovni pas za urnik nadgradnje. Opomba: Pod časovnim pasom sta prikazana datum in čas naslednje razpoložljive nadgradnje. Nadgradnjo lahko po potrebi prestavite na naslednji dan s klikom Odložiti. |
Spremenite konfiguracijo vozlišča
Spreminjanje potrdil x.509 zaradi poteka veljavnosti ali drugih razlogov.
Ne podpiramo spreminjanja imena domene CN potrdila. Domena se mora ujemati z izvirno domeno, uporabljeno za registracijo gruče.
Posodabljanje nastavitev baze podatkov za spremembo v repliko baze podatkov PostgreSQL ali Microsoft SQL Server.
Ne podpiramo selitve podatkov iz PostgreSQL v Microsoft SQL Server ali obratno. Če želite preklopiti okolje baze podatkov, začnite novo uvedbo Hybrid Data Security.
Ustvarjanje nove konfiguracije za pripravo novega podatkovnega centra.
Poleg tega za varnostne namene Hybrid Data Security uporablja gesla storitvenih računov, ki imajo devetmesečno življenjsko dobo. Ko orodje HDS Setup ustvari ta gesla, jih namestite v vsako od svojih vozlišč HDS v konfiguracijski datoteki ISO. Ko se gesla vaše organizacije bližajo izteku, prejmete obvestilo ekipe Webex za ponastavitev gesla za vaš strojni račun. (E-poštno sporočilo vključuje besedilo »Uporabite API računa stroja za posodobitev gesla.«) Če vaša gesla še niso potekla, vam orodje ponuja dve možnosti:
Mehka ponastavitev— Staro in novo geslo delujeta do 10 dni. To obdobje uporabite za postopno zamenjavo datoteke ISO na vozliščih.
Trda ponastavitev— Stara gesla prenehajo delovati takoj.
Če vaša gesla potečejo brez ponastavitve, to vpliva na vašo storitev HDS, saj zahteva takojšnjo strojno ponastavitev in zamenjavo datoteke ISO na vseh vozliščih.
S tem postopkom ustvarite novo konfiguracijsko datoteko ISO in jo uporabite za vašo gručo.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v 1.e. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Za ustvarjanje nove konfiguracije potrebujete kopijo trenutne konfiguracijske datoteke ISO. ISO vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. ISO potrebujete, ko spreminjate konfiguracijo, vključno s poverilnicami baze podatkov, posodobitvami potrdil ali spremembami pravilnika avtorizacije.
1 | Z Dockerjem na lokalnem računalniku zaženite orodje za namestitev HDS. |
2 | Če imate samo eno vozlišče HDS, ustvarite nov VM vozlišča Hybrid Data Security in ga registrirajte z novo konfiguracijsko datoteko ISO. Za podrobnejša navodila glejte Ustvarite in registrirajte več vozlišč. |
3 | Za obstoječa vozlišča HDS, ki izvajajo starejšo konfiguracijsko datoteko, namestite datoteko ISO. Izvedite naslednji postopek na vsakem vozlišču po vrsti in posodobite vsako vozlišče, preden izklopite naslednje vozlišče: |
4 | Ponovite 3. korak, da zamenjate konfiguracijo na vsakem preostalem vozlišču, ki izvaja staro konfiguracijo. |
Izklopite način razreševanja blokiranega zunanjega DNS-ja
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Če strežnik DNS vozlišča ne more razrešiti javnih imen DNS, vozlišče samodejno preide v način blokiranega zunanjega razreševanja DNS.
Če lahko vaša vozlišča razrešijo javna imena DNS prek notranjih strežnikov DNS, lahko ta način izklopite tako, da na vsakem vozlišču znova zaženete preskus povezave proxy.
Preden začneš
1 | V spletnem brskalniku odprite vmesnik vozlišča Hybrid Data Security (naslov IP/nastavitev, npr. https://192.0.2.0/setup), vnesite skrbniške poverilnice, ki ste jih nastavili za vozlišče, in nato kliknite Prijava. |
2 | Pojdi do Pregled (privzeta stran). Ko je omogočeno, Blokirana zunanja razrešitev DNS je nastavljeno na ja. |
3 | Pojdi na Trust Store & Proxy strani. |
4 | Kliknite Preverite povezavo proxy. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS in bo ostalo v tem načinu. V nasprotnem primeru, ko znova zaženete vozlišče in se vrnete na Pregled stran, Blokirana zunanja DNS resolucija mora biti nastavljena na št. |
Kaj storiti naprej
Odstranite vozlišče
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v virtualni gostitelj ESXi in izklopite virtualni stroj. |
2 | Odstranite vozlišče: |
3 | V odjemalcu vSphere izbrišite VM. (V levem podoknu za krmarjenje z desno miškino tipko kliknite VM in kliknite Izbriši.) Če VM ne izbrišete, ne pozabite odklopiti konfiguracijske datoteke ISO. Brez datoteke ISO ne morete uporabljati VM za dostop do svojih varnostnih podatkov. |
Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti
Najbolj kritična storitev, ki jo nudi vaša gruča Hybrid Data Security, je ustvarjanje in shranjevanje ključev, ki se uporabljajo za šifriranje sporočil in druge vsebine, shranjene v oblaku Webex. Za vsakega uporabnika v organizaciji, ki je dodeljen Hybrid Data Security, so nove zahteve za ustvarjanje ključev usmerjene v gručo. Grozd je odgovoren tudi za vrnitev ključev, ki jih je ustvaril vsem uporabnikom, ki so pooblaščeni, da jih pridobijo, na primer članom prostora za pogovor.
Ker gruča opravlja kritično funkcijo zagotavljanja teh ključev, je nujno, da gruča še naprej deluje in da se vzdržujejo ustrezne varnostne kopije. Izguba podatkovne baze Hybrid Data Security ali konfiguracijskega ISO, ki se uporablja za shemo, bo povzročila NEPODOLČLJIVO IZGUBO vsebine stranke. Naslednje prakse so obvezne za preprečitev takšne izgube:
Če katastrofa povzroči, da uvedba HDS v primarnem podatkovnem centru postane nerazpoložljiva, sledite temu postopku za ročni samodejni preklop v rezervni podatkovni center.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve stran, dodajte spodnjo konfiguracijo ali odstranite
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
(Izbirno) Odpni ISO po konfiguraciji HDS
Standardna konfiguracija HDS deluje z nameščenim ISO. Toda nekatere stranke raje ne puščajo datotek ISO neprekinjeno nameščenih. Datoteko ISO lahko odklopite, ko vsa vozlišča HDS prevzamejo novo konfiguracijo.
Za spreminjanje konfiguracije še vedno uporabljate datoteke ISO. Ko ustvarite nov ISO ali posodobite ISO prek orodja za nastavitev, morate posodobljeni ISO namestiti na vsa vozlišča HDS. Ko so vsa vaša vozlišča prevzela konfiguracijske spremembe, lahko s tem postopkom znova odklopite ISO.
Preden začneš
Nadgradite vsa svoja vozlišča HDS na različico 2021.01.22.4720 ali novejšo.
1 | Zaustavite eno od vozlišč HDS. |
2 | V strežniški napravi vCenter izberite vozlišče HDS. |
3 | Izberite Datoteka ISO za shranjevanje podatkov. in odkljukajte |
4 | Vklopite vozlišče HDS in zagotovite, da vsaj 20 minut ni alarmov. |
5 | Ponovite za vsako vozlišče HDS po vrsti. |
Ogled opozoril in odpravljanje težav
Uvedba hibridne varnosti podatkov se šteje za nerazpoložljivo, če so vsa vozlišča v gruči nedosegljiva ali če gruča deluje tako počasi, da zahteva preteče čas. Če uporabniki ne morejo doseči vaše gruče Hybrid Data Security, se pojavijo naslednji simptomi:
Novih prostorov ni mogoče ustvariti (ni mogoče ustvariti novih ključev)
Sporočil in naslovov prostorov ni mogoče dešifrirati za:
Novi uporabniki dodani v prostor (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru, ki uporabljajo novega odjemalca (ni mogoče pridobiti ključev)
Obstoječi uporabniki v prostoru bodo še naprej uspešno delovali, dokler imajo njihovi odjemalci predpomnilnik šifrirnih ključev
Pomembno je, da pravilno spremljate svojo gručo Hybrid Data Security in nemudoma obravnavate vsa opozorila, da preprečite motnje storitve.
Opozorila
Če pride do težave z nastavitvijo Hybrid Data Security, Control Hub prikaže opozorila skrbniku organizacije in pošlje e-pošto na konfigurirani e-poštni naslov. Opozorila zajemajo številne pogoste scenarije.
Opozorilo | Dejanje |
---|---|
Napaka pri dostopu do lokalne baze podatkov. |
Preverite napake baze podatkov ali težave z lokalnim omrežjem. |
Napaka povezave z lokalno bazo podatkov. |
Preverite, ali je strežnik baze podatkov na voljo in ali so bile v konfiguraciji vozlišča uporabljene prave poverilnice storitvenega računa. |
Napaka pri dostopu do storitve v oblaku. |
Preverite, ali lahko vozlišča dostopajo do strežnikov Webex, kot je določeno v Zahteve za zunanjo povezljivost. |
Podaljšanje registracije storitve v oblaku. |
Registracija v storitvah v oblaku je bila opuščena. Podaljšanje registracije je v teku. |
Registracija storitve v oblaku je padla. |
Registracija v storitve v oblaku je prekinjena. Storitev se zapira. |
Storitev še ni aktivirana. |
Aktivirajte preskusno različico ali dokončajte premik preizkusne različice v produkcijo. |
Konfigurirana domena se ne ujema s potrdilom strežnika. |
Prepričajte se, da se vaše potrdilo strežnika ujema s konfigurirano domeno za aktiviranje storitve. Najverjetnejši vzrok je, da je bilo potrdilo CN nedavno spremenjeno in se zdaj razlikuje od CN, ki je bilo uporabljeno med prvotno nastavitvijo. |
Preverjanje pristnosti v storitvah v oblaku ni uspelo. |
Preverite točnost in morebiten potek poverilnic storitvenega računa. |
Lokalne datoteke shrambe ključev ni bilo mogoče odpreti. |
Preverite celovitost in točnost gesla v datoteki lokalne shrambe ključev. |
Potrdilo lokalnega strežnika ni veljavno. |
Preverite datum veljavnosti strežniškega potrdila in potrdite, da ga je izdal zaupanja vreden overitelj potrdil. |
Ni mogoče objaviti meritev. |
Preverite dostop lokalnega omrežja do zunanjih storitev v oblaku. |
Imenik /media/configdrive/hds ne obstaja. |
Preverite konfiguracijo namestitve ISO na virtualnem gostitelju. Preverite, ali datoteka ISO obstaja, ali je konfigurirana za namestitev ob ponovnem zagonu in ali je uspešno nameščena. |
Odpravljanje težav s hibridno varnostjo podatkov
1 | Preglejte Control Hub za vsa opozorila in popravite vse elemente, ki jih najdete tam. |
2 | Preglejte izhod strežnika syslog za dejavnost razmestitve Hybrid Data Security. |
3 | Kontakt Cisco podpora. |
Znane težave pri hibridni varnosti podatkov
Če zaustavite svojo gručo Hybrid Data Security (tako da jo izbrišete v Control Hubu ali tako, da zaustavite vsa vozlišča), izgubite konfiguracijsko datoteko ISO ali izgubite dostop do baze podatkov shrambe ključev, vaši uporabniki aplikacije Webex ne morejo več uporabljati prostorov pod svojimi Ljudje seznam, ki so bili ustvarjeni s ključi iz vašega KMS. To velja tako za poskusno kot za proizvodno uvedbo. Trenutno nimamo rešitve ali popravka za to težavo in vas pozivamo, da ne zaustavite storitev HDS, ko obravnavajo aktivne uporabniške račune.
Odjemalec, ki ima obstoječo povezavo ECDH s KMS, vzdržuje to povezavo nekaj časa (verjetno eno uro). Ko uporabnik postane član preskusne različice Hybrid Data Security, uporabnikov odjemalec nadaljuje z uporabo obstoječe povezave ECDH, dokler ne poteče čas. Druga možnost je, da se uporabnik odjavi in znova prijavi v aplikacijo Webex App, da posodobi lokacijo, s katero se aplikacija obrne za šifrirne ključe.
Enako vedenje se zgodi, ko preizkus premaknete v proizvodnjo za organizacijo. Vsi uporabniki brez preskusne različice z obstoječimi povezavami ECDH s prejšnjimi storitvami za varnost podatkov bodo še naprej uporabljali te storitve, dokler se povezava ECDH ponovno ne dogovori (prek časovne omejitve ali z odjavo in ponovnim vstopom).
Uporabite OpenSSL za ustvarjanje datoteke PKCS12
Preden začneš
OpenSSL je eno orodje, ki ga lahko uporabite za izdelavo datoteke PKCS12 v ustreznem formatu za nalaganje v orodju za nastavitev HDS. Obstajajo drugi načini za to in ne podpiramo ali spodbujamo enega načina namesto drugega.
Če se odločite za uporabo OpenSSL, ponujamo ta postopek kot smernico za pomoč pri ustvarjanju datoteke, ki izpolnjuje zahteve potrdila X.509 v Zahteve za potrdilo X.509. Razumite te zahteve, preden nadaljujete.
Namestite OpenSSL v podprto okolje. glej https://www.openssl.org za programsko opremo in dokumentacijo.
Ustvari zasebni ključ.
Začnite ta postopek, ko prejmete strežniško potrdilo od svojega overitelja potrdil (CA).
1 | Ko prejmete strežniško potrdilo od službe za potrdila, ga shranite kot |
2 | Prikažite potrdilo kot besedilo in preverite podrobnosti.
|
3 | Z urejevalnikom besedila ustvarite datoteko svežnja potrdil, imenovano
|
4 | Ustvarite datoteko .p12 s prijaznim imenom
|
5 | Preverite podrobnosti potrdila strežnika. |
Kaj storiti naprej
Vrnitev na Izpolnite predpogoje za hibridno varnost podatkov. Uporabili boste hdsnode.p12
datoteko in geslo, ki ste ga nastavili zanjo, v Ustvarite konfiguracijski ISO za gostitelje HDS.
Te datoteke lahko znova uporabite za zahtevo po novem potrdilu, ko prvotno potrdilo poteče. |
Promet med vozlišči HDS in oblakom
Odhodni promet zbiranja meritev
Vozlišča Hybrid Data Security pošiljajo določene meritve v oblak Webex. Ti vključujejo sistemske meritve za največjo kopico, uporabljeno kopico, obremenitev procesorja in število niti; metrike sinhronih in asinhronih niti; meritve za opozorila, ki vključujejo prag šifrirnih povezav, zakasnitev ali dolžino čakalne vrste zahtev; metrike v shrambi podatkov; in meritve šifrirne povezave. Vozlišča pošiljajo šifrirano ključno gradivo prek zunajpasovnega (ločenega od zahteve) kanala.
Dohodni promet
Vozlišča Hybrid Data Security prejemajo naslednje vrste vhodnega prometa iz oblaka Webex:
Zahteve za šifriranje odjemalcev, ki jih usmeri šifrirna storitev
Nadgradnje programske opreme vozlišča
Konfigurirajte posrednike Squid za hibridno varnost podatkov
Websocket se ne more povezati prek proxyja Squid
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice ( wss:
) povezave, ki jih zahteva Hybrid Data Security. Ti razdelki dajejo navodila o tem, kako konfigurirati različne različice Squid za prezrtje wss:
prometa za pravilno delovanje storitev.
Lignji 4 in 5
Dodajte on_unsupported_protocol
direktiva za squid.conf
:
on_unsupported_protocol tunnel all
Lignji 3.5.27
Hibridno varnost podatkov smo uspešno preizkusili z dodanimi naslednjimi pravili squid.conf
. Ta pravila se lahko spremenijo, ko razvijamo funkcije in posodabljamo oblak Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Nove in spremenjene informacije
Datum | Izvedene spremembe | ||
---|---|---|---|
20. oktober 2023 |
| ||
7. avgust 2023 |
| ||
23. maj 2023 |
| ||
6. december 2022 |
| ||
23. november 2022 |
| ||
13. oktober 2021 | Docker Desktop mora zagnati namestitveni program, preden lahko namestite vozlišča HDS. glej Zahteve za namizje Docker. | ||
24. junij 2021 | Upoštevajte, da lahko znova uporabite datoteko zasebnega ključa in CSR, da zahtevate drugo potrdilo. glej Uporabite OpenSSL za ustvarjanje datoteke PKCS12 za podrobnosti. | ||
30. april 2021 | Zahteva VM za lokalni prostor na trdem disku je spremenjena na 30 GB. glej Zahteve za virtualnega gostitelja za podrobnosti. | ||
24. februar 2021 | Orodje za nastavitev HDS lahko zdaj deluje za posrednikom. glej Ustvarite konfiguracijski ISO za gostitelje HDS za podrobnosti. | ||
2. februar 2021 | HDS lahko zdaj deluje brez nameščene datoteke ISO. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti. | ||
11. januar 2021 | Dodane informacije o orodju za nastavitev HDS in proxyjih za Ustvarite konfiguracijski ISO za gostitelje HDS. | ||
13. oktober 2020 | Posodobljeno Prenesite namestitvene datoteke. | ||
8. oktober 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča z ukazi za okolja FedRAMP. | ||
14. avgust 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS in Spremenite konfiguracijo vozlišča s spremembami postopka prijave. | ||
5. avgust 2020 | Posodobljeno Preizkusite svojo hibridno uvedbo varnosti podatkov za spremembe v dnevniških sporočilih. Posodobljeno Zahteve za virtualnega gostitelja da odstranite največje število gostiteljev. | ||
16. junij 2020 | Posodobljeno Odstranite vozlišče za spremembe v uporabniškem vmesniku Control Hub. | ||
4. junij 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS za spremembe v naprednih nastavitvah, ki jih lahko nastavite. | ||
29. maj 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS da pokažete, da lahko TLS uporabljate tudi z bazami podatkov SQL Server, spremembami uporabniškega vmesnika in drugimi pojasnili. | ||
5. maj 2020 | Posodobljeno Zahteve za virtualnega gostitelja za prikaz novih zahtev ESXi 6.5. | ||
21. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z novimi gostitelji CI Amerike. | ||
1. april 2020 | Posodobljeno Zahteve za zunanjo povezljivost z informacijami o regionalnih gostiteljih CI. | ||
20. februar 2020 | Posodobljeno Ustvarite konfiguracijski ISO za gostitelje HDS z informacijami o novem izbirnem zaslonu z naprednimi nastavitvami v orodju za nastavitev HDS. | ||
4. februar 2020 | Posodobljeno Zahteve za strežnik proxy. | ||
16. december 2019 | Pojasnjena je zahteva za delovanje v načinu blokiranega zunanjega razreševanja DNS Zahteve za strežnik proxy. | ||
19. november 2019 | Dodane informacije o načinu razreševanja blokiranega zunanjega DNS-ja v naslednjih razdelkih: | ||
8. november 2019 | Zdaj lahko konfigurirate omrežne nastavitve za vozlišče med uvajanjem OVA in ne pozneje. Ustrezno posodobljeni naslednji razdelki:
| ||
6. september 2019 | Dodan SQL Server Standard Zahteve za strežnik baze podatkov. | ||
29. avgust 2019 | Dodano Konfigurirajte posrednike Squid za hibridno varnost podatkov dodatek z navodili za konfiguriranje proxyjev Squid, da za pravilno delovanje prezrejo promet spletnih vtičnic. | ||
20. avgust 2019 | Dodani in posodobljeni razdelki za pokrivanje podpore posrednika za komunikacije vozlišča Hybrid Data Security z oblakom Webex. Za dostop samo do podporne vsebine proxyja za obstoječo uvedbo glejte Proxy podpora za Hybrid Data Security in Webex Video Mesh članek za pomoč. | ||
13. junij 2019 | Posodobljeno Potek naloge od preizkusa do proizvodnje z opomnikom za sinhronizacijo HdsTrialGroup predmet skupine pred začetkom preizkusa, če vaša organizacija uporablja sinhronizacijo imenikov. | ||
6. marec 2019 |
| ||
28. februar 2019 |
| ||
26. februar 2019 |
| ||
24. januar 2019 |
| ||
5. november 2018 |
| ||
19. oktober 2018 |
| ||
31. julij 2018 |
| ||
21. maj 2018 | Spremenjena terminologija, ki odraža preimenovanje Cisco Spark:
| ||
11. april 2018 |
| ||
22. februar 2018 |
| ||
15. februar 2018 |
| ||
18. januar 2018 |
| ||
2. november 2017 |
| ||
18. avgust 2017 | Prvič objavljeno |
Pregled varnosti hibridnih podatkov
Od prvega dne je bila varnost podatkov glavni poudarek pri oblikovanju Aplikacija Webex. Temelj te varnosti je šifriranje vsebine od konca do konca, ki ga omogoča Aplikacija Webex stranke, ki komunicirajo s storitvijo upravljanja ključev (KMS). KMS je odgovoren za ustvarjanje in upravljanje kriptografskih ključev, ki jih stranke uporabljajo za dinamično šifriranje in dešifriranje sporočil in datotek.
Privzeto vse Aplikacija Webex stranke dobijo šifriranje od konca do konca z dinamičnimi ključi, shranjenimi v oblaku KMS, v Ciscovem varnostnem področju. Hybrid Data Security premakne KMS in druge funkcije, povezane z varnostjo, v podatkovni center vašega podjetja, tako da nihče drug kot vi nima ključev do vaše šifrirane vsebine.
Arhitektura varnostnega področja
Arhitektura oblaka Webex ločuje različne vrste storitev v ločena področja ali domene zaupanja, kot je prikazano spodaj.
Za nadaljnje razumevanje hibridne varnosti podatkov si najprej oglejmo ta čisti oblak, kjer Cisco zagotavlja vse funkcije v svojem oblaku. Storitev identitete, edino mesto, kjer so uporabniki lahko neposredno povezani z njihovimi osebnimi podatki, kot je e-poštni naslov, je logično in fizično ločena od varnostnega področja v podatkovnem centru B. Oboje je ločeno od področja, kjer je na koncu shranjena šifrirana vsebina. , v podatkovnem centru C.
V tem diagramu je odjemalec aplikacija Webex, ki se izvaja na prenosnem računalniku uporabnika in je bila overjena s storitvijo identitete. Ko uporabnik sestavi sporočilo za pošiljanje v prostor, potekajo naslednji koraki:
Odjemalec vzpostavi varno povezavo s storitvijo za upravljanje ključev (KMS), nato pa zahteva ključ za šifriranje sporočila. Varna povezava uporablja ECDH, KMS pa šifrira ključ z glavnim ključem AES-256.
Sporočilo je šifrirano, preden zapusti odjemalca. Odjemalec ga pošlje storitvi indeksiranja, ki ustvari šifrirane iskalne indekse za pomoč pri prihodnjih iskanjih vsebine.
Šifrirano sporočilo je poslano storitvi skladnosti za preverjanje skladnosti.
Šifrirano sporočilo je shranjeno v območju shranjevanja.
Ko uvedete Hybrid Data Security, premaknete funkcije varnostnega področja (KMS, indeksiranje in skladnost) v vaš lokalni podatkovni center. Druge storitve v oblaku, ki sestavljajo Webex (vključno s shranjevanjem identitete in vsebine), ostajajo v domeni Cisca.
Sodelovanje z drugimi organizacijami
Uporabniki v vaši organizaciji lahko redno uporabljajo aplikacijo Webex za sodelovanje z zunanjimi udeleženci v drugih organizacijah. Ko eden od vaših uporabnikov zahteva ključ za prostor, ki je v lasti vaše organizacije (ker ga je ustvaril eden od vaših uporabnikov), vaš KMS pošlje ključ odjemalcu prek zaščitenega kanala ECDH. Ko pa ima druga organizacija ključ za prostor, vaš KMS usmeri zahtevo v oblak Webex prek ločenega kanala ECDH, da pridobi ključ od ustreznega KMS, in nato vrne ključ vašemu uporabniku na izvirnem kanalu.
Storitev KMS, ki se izvaja v organizaciji A, preverja povezave s KMS-ji v drugih organizacijah z uporabo potrdil x.509 PKI. glej Pripravite svoje okolje za podrobnosti o ustvarjanju potrdila x.509 za uporabo z vašo uvedbo Hybrid Data Security.
Pričakovanja glede uvajanja hibridne varnosti podatkov
Uvedba hibridne varnosti podatkov zahteva veliko predanost strank in zavedanje tveganj, ki jih prinaša posedovanje šifrirnih ključev.
Za uvedbo Hybrid Data Security morate zagotoviti:
Varen podatkovni center v državi, ki je a podprto lokacijo za načrte Cisco Webex Teams.
Oprema, programska oprema in dostop do omrežja, opisani v Pripravite svoje okolje.
Popolna izguba konfiguracije ISO, ki jo zgradite za Hybrid Data Security, ali baze podatkov, ki jo zagotovite, bo povzročila izgubo ključev. Izguba ključa uporabnikom prepreči dešifriranje prostorske vsebine in drugih šifriranih podatkov v aplikaciji Webex. Če se to zgodi, lahko zgradite novo uvedbo, vendar bo vidna samo nova vsebina. Da preprečite izgubo dostopa do podatkov, morate:
Upravljajte varnostno kopiranje in obnovitev baze podatkov in konfiguracije ISO.
Bodite pripravljeni izvesti hitro obnovitev po katastrofi, če pride do katastrofe, kot je okvara diska baze podatkov ali katastrofa podatkovnega centra.
Ni mehanizma za premik ključev nazaj v oblak po uvedbi HDS. |
Postopek namestitve na visoki ravni
Ta dokument pokriva nastavitev in upravljanje uvedbe Hybrid Data Security:
Nastavite hibridno varnost podatkov— To vključuje pripravo zahtevane infrastrukture in namestitev programske opreme Hybrid Data Security, testiranje vaše uvedbe s podnaborom uporabnikov v preskusnem načinu in, ko je vaše testiranje končano, premik v proizvodnjo. To pretvori celotno organizacijo v uporabo vaše Hybrid Data Security gruče za varnostne funkcije.
Faze nastavitve, preizkusa in proizvodnje so podrobno obravnavane v naslednjih treh poglavjih.
Ohranite svojo uvedbo Hybrid Data Security— Oblak Webex samodejno zagotavlja stalne nadgradnje. Vaš IT oddelek lahko zagotovi podporo prve stopnje za to uvedbo in po potrebi vključi podporo Cisco. V Control Hubu lahko uporabite obvestila na zaslonu in nastavite opozorila po e-pošti.
Razumevanje pogostih opozoril, korakov za odpravljanje težav in znanih težav—Če naletite na težave pri uvajanju ali uporabi Hybrid Data Security, vam lahko zadnje poglavje tega vodnika in dodatek Znane težave pomagata ugotoviti in odpraviti težavo.
Hibridni model uvajanja varnosti podatkov
Znotraj podatkovnega centra vašega podjetja namestite Hybrid Data Security kot eno samo gručo vozlišč na ločenih virtualnih gostiteljih. Vozlišča komunicirajo z oblakom Webex prek varnih spletnih vtičnic in varnega HTTP-ja.
Med postopkom namestitve vam zagotovimo datoteko OVA za nastavitev virtualne naprave na VM, ki jih zagotovite. Z orodjem za nastavitev HDS ustvarite datoteko ISO konfiguracije gruče po meri, ki jo namestite na vsako vozlišče. Grozd Hybrid Data Security uporablja strežnik Syslogd, ki ste ga zagotovili, in bazo podatkov PostgreSQL ali Microsoft SQL Server. (Syslogd in podrobnosti o povezavi baze podatkov konfigurirate v orodju za namestitev HDS.)
Najmanjše število vozlišč, ki jih lahko imate v gruči, sta dve. Priporočamo vsaj tri, lahko pa tudi do pet. Če imate več vozlišč, zagotovite, da storitev ni prekinjena med nadgradnjo programske opreme ali drugo vzdrževalno dejavnostjo na vozlišču. (Oblak Webex nadgrajuje samo eno vozlišče naenkrat.)
Vsa vozlišča v gruči dostopajo do iste shrambe ključnih podatkov in beležijo dejavnost v isti strežnik syslog. Sama vozlišča so brez stanja in obravnavajo ključne zahteve na krožni način, po navodilih oblaka.
Vozlišča postanejo aktivna, ko jih registrirate v Control Hub. Če želite posamezno vozlišče izključiti iz uporabe, ga lahko odjavite in pozneje po potrebi znova registrirate.
Podpiramo samo eno gručo na organizacijo.
Preizkusni način hibridne varnosti podatkov
Ko nastavite uvedbo Hybrid Data Security, jo najprej preizkusite z nizom pilotnih uporabnikov. Med preskusnim obdobjem ti uporabniki uporabljajo vašo domeno Hybrid Data Security na mestu uporabe za šifrirne ključe in druge storitve varnostnega področja. Vaši drugi uporabniki še naprej uporabljajo varnostno področje oblaka.
Če se med preskusnim obdobjem odločite, da ne boste nadaljevali z uvajanjem in deaktivirate storitev, bodo pilotni uporabniki in vsi uporabniki, s katerimi so sodelovali z ustvarjanjem novih prostorov med preskusnim obdobjem, izgubili dostop do sporočil in vsebine. V aplikaciji Webex bodo videli »Tega sporočila ni mogoče dešifrirati«.
Če ste zadovoljni, da vaša uvedba dobro deluje za preskusne uporabnike in ste pripravljeni razširiti Hybrid Data Security na vse svoje uporabnike, premaknite uvedbo v produkcijo. Pilotni uporabniki imajo še naprej dostop do ključev, ki so bili v uporabi med preskusom. Vendar se ne morete premikati naprej in nazaj med produkcijskim načinom in prvotnim preskusom. Če morate deaktivirati storitev, na primer za izvedbo obnovitve po katastrofi, morate ob ponovni aktivaciji začeti novo preskusno različico in nastaviti nabor pilotnih uporabnikov za novo preskusno različico, preden se premaknete nazaj v produkcijski način. Ali uporabniki obdržijo dostop do podatkov na tej točki, je odvisno od tega, ali ste uspešno vzdrževali varnostne kopije shrambe ključnih podatkov in konfiguracijske datoteke ISO za vozlišča Hybrid Data Security v vaši gruči.
Podatkovni center v pripravljenosti za obnovitev po katastrofi
Med uvajanjem nastavite varen podatkovni center v pripravljenosti. V primeru katastrofe v podatkovnem centru lahko ročno prekinete svojo uvedbo v podatkovni center v pripravljenosti.
Podatkovne baze aktivnega in rezervnega podatkovnega centra so med seboj sinhronizirane, kar bo zmanjšalo čas, potreben za izvedbo samodejnega preklopa. Datoteka ISO podatkovnega centra v pripravljenosti je posodobljena z dodatnimi konfiguracijami, ki zagotavljajo, da so vozlišča registrirana v organizaciji, vendar ne bodo obravnavala prometa. Tako so vozlišča podatkovnega centra v pripravljenosti vedno posodobljena z najnovejšo različico programske opreme HDS.
Aktivna vozlišča Hybrid Data Security morajo biti vedno v istem podatkovnem centru kot aktivni strežnik baze podatkov. |
Nastavite podatkovni center v pripravljenosti za obnovitev po katastrofi
Za konfiguracijo datoteke ISO podatkovnega centra v pripravljenosti sledite spodnjim korakom:
Preden začneš
Podatkovni center v pripravljenosti bi moral zrcaliti produkcijsko okolje navideznih strojev in rezervno bazo podatkov PostgreSQL ali Microsoft SQL Server. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. (Glej Podatkovni center v pripravljenosti za obnovitev po katastrofi za pregled tega modela samodejnega preklopa.)
Prepričajte se, da je omogočena sinhronizacija baze podatkov med bazo podatkov aktivnih in pasivnih vozlišč gruče.
1 | Zaženite orodje HDS Setup in sledite korakom, navedenim v Ustvarite konfiguracijski ISO za gostitelje HDS.
| ||
2 | Ko konfigurirate strežnik Syslogd, kliknite na Napredne nastavitve | ||
3 | Na Napredne nastavitve strani dodajte spodnjo konfiguracijo, da postavite vozlišče v pasivni način. V tem načinu bo vozlišče registrirano v organizaciji in povezano z oblakom, vendar ne bo obravnavalo prometa.
| ||
4 | Dokončajte postopek konfiguracije in shranite datoteko ISO na mesto, ki ga je enostavno najti. | ||
5 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||
6 | V levem podoknu za krmarjenje odjemalca VMware vSphere z desno miškino tipko kliknite VM in kliknite Uredi nastavitve.. | ||
7 | Kliknite Uredi nastavitve >CD/DVD pogon 1 in izberite Datastore ISO File.
| ||
8 | Vklopite vozlišče HDS in se prepričajte, da ni alarmov vsaj 15 minut. | ||
9 | Ponovite postopek za vsako vozlišče v podatkovnem centru v pripravljenosti.
|
Kaj storiti naprej
Po konfiguraciji passiveMode
v datoteko ISO in jo shranite, lahko ustvarite drugo kopijo datoteke ISO brez passiveMode
konfiguracijo in jo shranite na varno mesto. Ta kopija datoteke ISO brez passiveMode
konfigurirano lahko pomaga pri hitrem procesu samodejnega preklopa med obnovitvijo po katastrofi. glej Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti za podroben postopek samodejnega preklopa.
Podpora za proxy
Hybrid Data Security podpira eksplicitne, pregledne inšpekcijske in neinšpekcijske posrednike. Te posrednike lahko povežete s svojo uvedbo, tako da lahko zavarujete in spremljate promet iz podjetja v oblak. Skrbniški vmesnik platforme lahko uporabite na vozliščih za upravljanje potrdil in za preverjanje splošnega stanja povezljivosti, potem ko nastavite proxy na vozliščih.
Vozlišča Hybrid Data Security podpirajo naslednje možnosti posrednika:
Brez posrednika— Privzeto, če za integracijo proxyja ne uporabljate nastavitve vozlišča HDS Trust Store & Proxy. Posodobitev potrdila ni potrebna.
Transparenten proxy brez nadzora— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy in ne bi smela zahtevati nobenih sprememb za delo s proxyjem, ki ne preverja. Posodobitev potrdila ni potrebna.
Transparentni proxy za tuneliranje ali pregledovanje— Vozlišča niso konfigurirana za uporabo določenega naslova strežnika proxy. Na vozliščih niso potrebne spremembe konfiguracije HTTP ali HTTPS. Vendar vozlišča potrebujejo korensko potrdilo, da zaupajo proxyju. Inspecting proxy običajno uporablja IT za uveljavljanje pravilnikov o tem, katera spletna mesta je mogoče obiskati in katere vrste vsebine niso dovoljene. Ta vrsta proxyja dešifrira ves vaš promet (tudi HTTPS).
Eksplicitni posrednik— Z eksplicitnim proxy vozliščem HDS poveste, kateri strežnik proxy in shemo preverjanja pristnosti naj uporabijo. Če želite konfigurirati eksplicitni proxy, morate v vsako vozlišče vnesti naslednje informacije:
Proxy IP/FQDN—Naslov, ki ga je mogoče uporabiti za dostop do proxy naprave.
Proxy vrata—Številka vrat, ki jih proxy uporablja za poslušanje prometa prek posrednika.
Proxy protokol—Glede na to, kaj podpira vaš proxy strežnik, izberite med naslednjimi protokoli:
HTTP—Ogleda in nadzoruje vse zahteve, ki jih pošlje odjemalec.
HTTPS—zagotavlja kanal strežniku. Odjemalec prejme in potrdi potrdilo strežnika.
Vrsta avtentikacije—Izbirajte med naslednjimi vrstami preverjanja pristnosti:
Noben— Nadaljnje preverjanje pristnosti ni potrebno.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Osnovno—Uporablja se za uporabniškega agenta HTTP, da zagotovi uporabniško ime in geslo, ko poda zahtevo. Uporablja kodiranje Base64.
Na voljo, če kot proxy protokol izberete HTTP ali HTTPS.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
prebaviti— Uporablja se za potrditev računa pred pošiljanjem občutljivih informacij. Uporabi zgoščeno funkcijo za uporabniško ime in geslo pred pošiljanjem po omrežju.
Na voljo samo, če izberete HTTPS kot posredniški protokol.
Za vsako vozlišče morate vnesti uporabniško ime in geslo.
Primer vozlišč hibridne varnosti podatkov in posrednika
Ta diagram prikazuje primer povezave med Hybrid Data Security, omrežjem in proxyjem. Za možnosti transparentnega pregledovanja in eksplicitnega pregledovanja HTTPS proxy mora biti isto korensko potrdilo nameščeno na proxyju in vozliščih Hybrid Data Security.
Blokiran zunanji način reševanja DNS (eksplicitne konfiguracije proxyja)
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Pri uvedbah z eksplicitnimi konfiguracijami posrednika, ki ne dovoljujejo zunanjega razreševanja DNS za notranje odjemalce, če vozlišče ne more poizvedovati po strežnikih DNS, samodejno preide v način blokiranega zunanjega razreševanja DNS. V tem načinu se lahko nadaljuje registracija vozlišča in drugi testi povezljivosti posrednika.
Zahteve za hibridno varnost podatkov
Licenčne zahteve za Cisco Webex
Če želite uvesti Hybrid Data Security:
Za Cisco Webex Control Hub morate imeti Pro Pack. (Glej https://www.cisco.com/go/pro-pack.)
Zahteve za namizje Docker
Preden namestite vozlišča HDS, potrebujete Docker Desktop za zagon namestitvenega programa. Docker je nedavno posodobil svoj model licenciranja. Vaša organizacija morda zahteva plačljivo naročnino za Docker Desktop. Za podrobnosti si oglejte objavo v spletnem dnevniku Docker, " Docker posodablja in podaljšuje naše naročnine na izdelke".
Zahteve za potrdilo X.509
Certifikacijska veriga mora izpolnjevati naslednje zahteve:
Zahteva | Podrobnosti |
---|---|
| Privzeto zaupamo CA-jem na seznamu Mozilla (z izjemo WoSign in StartCom) na https://wiki.mozilla.org/CA:IncludedCAs. |
| Ni treba, da je CN dosegljiv ali gostitelj v živo. Priporočamo, da uporabite ime, ki odraža vašo organizacijo, na primer KN ne sme vsebovati * (nadomestni znak). CN se uporablja za preverjanje vozlišč Hybrid Data Security za odjemalce aplikacije Webex. Vsa vozlišča Hybrid Data Security v vaši gruči uporabljajo isto potrdilo. Vaš KMS se identificira z uporabo domene CN, ne katere koli domene, ki je definirana v poljih SAN x.509v3. Ko registrirate vozlišče s tem potrdilom, ne podpiramo spreminjanja imena domene CN. Izberite domeno, ki se lahko uporablja za preskusno in produkcijsko uvedbo. |
| Programska oprema KMS ne podpira podpisov SHA1 za preverjanje povezav s KMS-ji drugih organizacij. |
| Za spremembo oblike potrdila lahko uporabite pretvornik, kot je OpenSSL. Ko zaženete orodje za nastavitev HDS, boste morali vnesti geslo. |
Programska oprema KMS ne uveljavlja uporabe ključev ali razširjenih omejitev uporabe ključev. Nekateri overitelji potrdil zahtevajo, da se za vsako potrdilo uporabijo razširjene omejitve uporabe ključa, na primer preverjanje pristnosti strežnika. V redu je, če uporabite avtentikacijo strežnika ali druge nastavitve.
Zahteve za virtualnega gostitelja
Navidezni gostitelji, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči, imajo naslednje zahteve:
Vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru
VMware ESXi 6.5 (ali novejši) nameščen in deluje.
Če imate starejšo različico ESXi, morate nadgraditi.
Najmanj 4 vCPU-ji, 8 GB glavnega pomnilnika, 30 GB lokalnega prostora na trdem disku na strežnik
Zahteve za strežnik baze podatkov
Ustvarite novo bazo podatkov za shranjevanje ključev. Ne uporabljajte privzete zbirke podatkov. Ko so nameščene aplikacije HDS, ustvarijo shemo baze podatkov. |
Obstajata dve možnosti za strežnik baze podatkov. Zahteve za vsakega so naslednje:
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) | Najmanj 8 vCPU-jev, 16 GB glavnega pomnilnika, dovolj prostora na trdem disku in nadzor, da se zagotovi, da ni presežen (priporočeno je 2 TB, če želite bazo podatkov izvajati dlje časa, ne da bi morali povečati prostor za shranjevanje) |
Programska oprema HDS trenutno namesti naslednje različice gonilnikov za komunikacijo s strežnikom baze podatkov:
PostgreSQL | Microsoft SQL Server |
---|---|
Gonilnik Postgres JDBC 42.2.5 | Gonilnik SQL Server JDBC 4.6 Ta različica gonilnika podpira SQL Server Always On ( Always On Failover Cluster Instances in Skupine razpoložljivosti Always On). |
Dodatne zahteve za preverjanje pristnosti sistema Windows proti strežniku Microsoft SQL Server
Če želite, da vozlišča HDS uporabljajo preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev v strežniku Microsoft SQL Server, potrebujete naslednjo konfiguracijo v svojem okolju:
Vozlišča HDS, infrastruktura Active Directory in MS SQL Server morajo biti vsi sinhronizirani z NTP.
Račun Windows, ki ga zagotovite vozliščem HDS, mora imeti dostop za branje/pisanje do baze podatkov.
Strežniki DNS, ki jih zagotovite vozliščem HDS, morajo imeti možnost razrešiti vaš center za distribucijo ključev (KDC).
Primerek baze podatkov HDS lahko registrirate na strežniku Microsoft SQL Server kot glavno ime storitve (SPN) v imeniku Active Directory. glej Registrirajte glavno ime storitve za povezave Kerberos.
Orodje za nastavitev HDS, zaganjalnik HDS in lokalni KMS morajo uporabljati preverjanje pristnosti sistema Windows za dostop do baze podatkov shrambe ključev. Uporabijo podrobnosti iz vaše konfiguracije ISO za izdelavo SPN, ko zahtevajo dostop s preverjanjem pristnosti Kerberos.
Zahteve za zunanjo povezljivost
Konfigurirajte požarni zid, da bo omogočal naslednje povezave za aplikacije HDS:
Aplikacija | Protokol | Pristanišče | Smer iz App | Destinacija |
---|---|---|---|---|
Hibridna varnostna vozlišča podatkov | TCP | 443 | Odhodni HTTPS in WSS |
|
Orodje za nastavitev HDS | TCP | 443 | Odhodni HTTPS |
|
Vozlišča Hybrid Data Security delujejo s prevajanjem omrežnega dostopa (NAT) ali za požarnim zidom, če NAT ali požarni zid omogoča zahtevane odhodne povezave do ciljev domene v prejšnji tabeli. Za povezave, ki potekajo vhodno do vozlišč Hybrid Data Security, iz interneta ne smejo biti vidna nobena vrata. V vašem podatkovnem centru odjemalci potrebujejo dostop do vozlišč Hybrid Data Security na vratih TCP 443 in 22 za administrativne namene. |
URL-ji za gostitelje skupne identitete (CI) so specifični za regijo. To so trenutni gostitelji CI:
Regija | URL-ji gostitelja skupne identitete |
---|---|
Amerike |
|
Evropska unija |
|
Kanada |
|
Zahteve za strežnik proxy
Uradno podpiramo naslednje rešitve proxy, ki se lahko integrirajo z vašimi vozlišči Hybrid Data Security.
Transparent proxy—Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Posredniki Squid, ki pregledujejo promet HTTPS, lahko motijo vzpostavitev spletne vtičnice (wss:) povezave. Če se želite izogniti tej težavi, glejte Konfigurirajte posrednike Squid za hibridno varnost podatkov.
Podpiramo naslednje kombinacije vrst preverjanja pristnosti za eksplicitne posrednike:
Ni avtentikacije s HTTP ali HTTPS
Osnovna avtentikacija s HTTP ali HTTPS
Pregled pristnosti samo s HTTPS
Za proxy proxy za pregledovanje ali eksplicitni proxy HTTPS morate imeti kopijo korenskega potrdila proxyja. Navodila za uvajanje v tem priročniku vam povejo, kako naložite kopijo v skrbniške shrambe vozlišč Hybrid Data Security.
Omrežje, ki gosti vozlišča HDS, mora biti konfigurirano tako, da prisili izhodni promet TCP na vratih 443, da se usmeri prek proxyja.
Posredniki, ki pregledujejo spletni promet, lahko motijo povezave s spletnimi vtičnicami. Če pride do te težave, obide (brez pregleda) promet do
wbx2.com
inciscospark.com
bo rešil problem.
Izpolnite predpogoje za hibridno varnost podatkov
1 | Prepričajte se, da je vaša organizacija Webex omogočena za Pro Pack za Cisco Webex Control Hub in pridobite poverilnice računa s polnimi skrbniškimi pravicami organizacije. Za pomoč pri tem postopku se obrnite na svojega Ciscovega partnerja ali upravitelja računa. | ||
2 | Izberite ime domene za svojo uvedbo HDS (npr. | ||
3 | Pripravite enake navidezne gostitelje, ki jih boste nastavili kot vozlišča Hybrid Data Security v vaši gruči. Potrebujete vsaj dva ločena gostitelja (3 priporočljivo), nameščena v istem varnem podatkovnem centru, ki izpolnjujeta zahteve v Zahteve za virtualnega gostitelja. | ||
4 | Pripravite strežnik baze podatkov, ki bo deloval kot shramba ključnih podatkov za gručo, v skladu z Zahteve za strežnik baze podatkov. Strežnik baze podatkov mora biti nameščen v varnem podatkovnem centru skupaj z virtualnimi gostitelji. | ||
5 | Za hitro obnovitev po katastrofi nastavite varnostno okolje v drugem podatkovnem centru. Okolje za varnostno kopiranje zrcali produkcijsko okolje navideznih strojev in strežnik baze podatkov za varnostno kopiranje. Na primer, če ima proizvodnja 3 VM-je, ki poganjajo vozlišča HDS, bi moralo okolje za varnostno kopiranje imeti 3 VM-je. | ||
6 | Nastavite gostitelja sistemskega dnevnika za zbiranje dnevnikov iz vozlišč v gruči. Zberite njegov omrežni naslov in vrata sistemskega dnevnika (privzeto je UDP 514). | ||
7 | Ustvarite politiko varnega varnostnega kopiranja za vozlišča Hybrid Data Security, strežnik baze podatkov in gostitelja sistemskega dnevnika. Če želite preprečiti nepopravljivo izgubo podatkov, morate najmanj varnostno kopirati bazo podatkov in konfiguracijsko datoteko ISO, ustvarjeno za vozlišča Hybrid Data Security.
Odjemalci aplikacije Webex shranjujejo svoje ključe v predpomnilnik, zato izpad morda ne bo takoj opazen, vendar bo sčasoma očiten. Čeprav je začasnih izpadov nemogoče preprečiti, jih je mogoče obnoviti. Vendar bo popolna izguba (razpoložljivih varnostnih kopij) baze podatkov ali konfiguracijske datoteke ISO povzročila nepopravljivost podatkov o strankah. Od operaterjev vozlišč Hybrid Data Security se pričakuje, da bodo vzdrževali pogoste varnostne kopije baze podatkov in konfiguracijske datoteke ISO ter da bodo pripravljeni na ponovno izgradnjo podatkovnega centra Hybrid Data Security, če pride do katastrofalne okvare. | ||
8 | Zagotovite, da vaša konfiguracija požarnega zidu omogoča povezljivost za vozlišča Hybrid Data Security, kot je opisano v Zahteve za zunanjo povezljivost. | ||
9 | Namestite Docker ( https://www.docker.com) na katerem koli lokalnem računalniku s podprtim OS (Microsoft Windows 10 Professional ali Enterprise 64-bit ali Mac OSX Yosemite 10.10.3 ali novejši) s spletnim brskalnikom, ki lahko dostopa do njega na http://127.0.0.1:8080. Primerek Docker uporabite za prenos in zagon orodja za nastavitev HDS, ki gradi lokalne konfiguracijske informacije za vsa vozlišča Hybrid Data Security. Vaša organizacija morda potrebuje licenco Docker Desktop. glej Zahteve za namizje Docker za več informacij. Če želite namestiti in zagnati orodje za nastavitev HDS, mora imeti lokalni računalnik povezljivost, opisano v Zahteve za zunanjo povezljivost. | ||
10 | Če integrirate proxy s Hybrid Data Security, se prepričajte, da ustreza Zahteve za strežnik proxy. | ||
11 | Če vaša organizacija uporablja sinhronizacijo imenikov, ustvarite skupino v imeniku Active Directory, imenovano
|
Potek opravila uvajanja hibridne varnosti podatkov
Preden začneš
1 | Prenesite namestitvene datoteke Prenesite datoteko OVA na svoj lokalni računalnik za kasnejšo uporabo. | ||
2 | Ustvarite konfiguracijski ISO za gostitelje HDS Z orodjem za nastavitev HDS ustvarite konfiguracijsko datoteko ISO za vozlišča Hybrid Data Security. | ||
3 |
Ustvarite virtualni stroj iz datoteke OVA in izvedite začetno konfiguracijo, kot so omrežne nastavitve.
| ||
4 | Nastavite Hybrid Data Security VM Prijavite se v konzolo VM in nastavite poverilnice za prijavo. Konfigurirajte omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA. | ||
5 | Naložite in namestite ISO konfiguracije HDS Konfigurirajte VM iz konfiguracijske datoteke ISO, ki ste jo ustvarili z orodjem za namestitev HDS. | ||
6 | Konfigurirajte vozlišče HDS za integracijo posrednika Če omrežno okolje zahteva konfiguracijo proxyja, podajte vrsto proxyja, ki ga boste uporabili za vozlišče, in po potrebi dodajte potrdilo proxyja v shrambo zaupanja. | ||
7 | Registrirajte prvo vozlišče v gruči Registrirajte VM v oblaku Cisco Webex kot Hybrid Data Security node. | ||
8 | Ustvarite in registrirajte več vozlišč Dokončajte nastavitev gruče. | ||
9 | Izvedite preizkus in se premaknite v produkcijo (naslednje poglavje) Dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana. |
Prenesite namestitvene datoteke
1 | Prijavite se v https://admin.webex.comin nato kliknite Storitve. | ||||
2 | V razdelku Hybrid Services poiščite kartico Hybrid Data Security in kliknite Nastaviti. Če je kartica onemogočena ali je ne vidite, se obrnite na skupino za račun ali partnersko organizacijo. Dajte jim svojo številko računa in jih prosite, da vaši organizaciji omogočijo hibridno varnost podatkov. Če želite poiskati številko računa, kliknite zobnik v zgornjem desnem kotu poleg imena vaše organizacije.
| ||||
3 | Izberite št da označite, da vozlišča še niste nastavili, in nato kliknite Naslednji. Datoteka OVA se samodejno začne prenašati. Datoteko shranite na mesto v vašem računalniku.
| ||||
4 | Po želji kliknite Odprite vodnik za uvajanje da preverite, ali je na voljo novejša različica tega priročnika. |
Ustvarite konfiguracijski ISO za gostitelje HDS
Postopek nastavitve Hybrid Data Security ustvari datoteko ISO. Nato uporabite ISO za konfiguracijo gostitelja Hybrid Data Security.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v koraku 5. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska datoteka ISO, ki jo ustvarite, vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. Najnovejšo kopijo te datoteke potrebujete vsakič, ko spremenite konfiguracijo, kot je ta:
Poverilnice baze podatkov
Posodobitve potrdil
Spremembe politike avtorizacije
Če nameravate šifrirati povezave z bazo podatkov, nastavite svojo uvedbo PostgreSQL ali SQL Server za TLS.
1 | V ukazno vrstico vašega računalnika vnesite ustrezen ukaz za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
2 | Za vpis v register slik Docker vnesite naslednje:
| ||||||||||||
3 | Ob pozivu za geslo vnesite to zgoščeno vrednost:
| ||||||||||||
4 | Prenesite najnovejšo stabilno sliko za vaše okolje: V običajnih okoljih:
V okoljih FedRAMP:
| ||||||||||||
5 | Ko je vlečenje končano, vnesite ustrezen ukaz za vaše okolje:
Ko se vsebnik izvaja, vidite »Strežnik Express posluša na vratih 8080«. | ||||||||||||
6 |
Uporabite spletni brskalnik za dostop do lokalnega gostitelja, Orodje uporabi ta prvi vnos uporabniškega imena za nastavitev ustreznega okolja za ta račun. Orodje nato prikaže standardni poziv za prijavo. | ||||||||||||
7 | Ko ste pozvani, vnesite poverilnice za prijavo skrbnika stranke Control Hub in kliknite Vpiši se da omogočite dostop do zahtevanih storitev za Hybrid Data Security. | ||||||||||||
8 | Na strani s pregledom orodja za nastavitev kliknite Začeti. | ||||||||||||
9 | Na ISO uvoz strani, imate te možnosti:
| ||||||||||||
10 | Preverite, ali vaše potrdilo X.509 izpolnjuje zahteve v Zahteve za potrdilo X.509.
| ||||||||||||
11 | Vnesite naslov baze podatkov in račun za HDS za dostop do shrambe ključnih podatkov: | ||||||||||||
12 | Izberite a Način povezave z bazo podatkov TLS:
Ko naložite korensko potrdilo (če je potrebno) in kliknite Nadaljuj, orodje za nastavitev HDS preizkusi povezavo TLS s strežnikom baze podatkov. Orodje preveri tudi podpisnika potrdila in ime gostitelja, če je na voljo. Če preizkus ne uspe, orodje prikaže sporočilo o napaki, ki opisuje težavo. Izberete lahko, ali želite napako prezreti in nadaljevati z nastavitvijo. (Zaradi razlik v povezljivosti bodo vozlišča HDS morda lahko vzpostavila povezavo TLS, tudi če naprava z orodjem za nastavitev HDS tega ne more uspešno preizkusiti.) | ||||||||||||
13 | Na strani Sistemski dnevniki konfigurirajte strežnik Syslogd: | ||||||||||||
14 | (Izbirno) Spremenite lahko privzeto vrednost za nekatere parametre povezave z bazo podatkov v Napredne nastavitve. Na splošno je ta parameter edini, ki bi ga morda želeli spremeniti:
| ||||||||||||
15 | Kliknite Nadaljuj na Ponastavite geslo za storitvene račune zaslon. Gesla storitvenih računov imajo življenjsko dobo devet mesecev. Uporabite ta zaslon, ko se vaša gesla bližajo izteku ali jih želite ponastaviti, da razveljavi prejšnje datoteke ISO. | ||||||||||||
16 | Kliknite Prenesite datoteko ISO. Datoteko shranite na mesto, ki ga je enostavno najti. | ||||||||||||
17 | Naredite varnostno kopijo datoteke ISO v vašem lokalnem sistemu. Varnostno kopijo shranite. Ta datoteka vsebuje glavni šifrirni ključ za vsebino baze podatkov. Omejite dostop samo na tiste skrbnike za hibridno varnost podatkov, ki bi morali spremeniti konfiguracijo. | ||||||||||||
18 | Če želite zaustaviti orodje za nastavitev, vnesite |
Kaj storiti naprej
Varnostno kopirajte konfiguracijsko datoteko ISO. Potrebujete ga za ustvarjanje več vozlišč za obnovitev ali za spreminjanje konfiguracije. Če izgubite vse kopije datoteke ISO, ste izgubili tudi glavni ključ. Obnovitev ključev iz baze podatkov PostgreSQL ali Microsoft SQL Server ni mogoča.
Nikoli nimamo kopije tega ključa in vam ne moremo pomagati, če ga izgubite. |
Namestite HDS Host OVA
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v navideznega gostitelja ESXi. | ||||||
2 | Izberite mapa > Namestite predlogo OVF. | ||||||
3 | V čarovniku določite lokacijo datoteke OVA, ki ste jo prej prenesli, in nato kliknite Naslednji . | ||||||
4 | Na Izberite ime in mapo strani vnesite a Ime navideznega stroja za vozlišče (na primer "HDS_node_1"), izberite lokacijo, kjer je lahko uvedba vozlišča navideznega stroja, in nato kliknite Naslednji . | ||||||
5 | Na Izberite računalniški vir izberite ciljni računalniški vir in kliknite Naslednji . Zažene se preverjanje veljavnosti. Ko se konča, se prikažejo podrobnosti predloge. | ||||||
6 | Preverite podrobnosti predloge in kliknite Naslednji. | ||||||
7 | Če ste pozvani, da izberete konfiguracijo vira na Konfiguracija strani, kliknite 4 procesor in nato kliknite Naslednji . | ||||||
8 | Na Izberite shranjevanje strani, kliknite Naslednji da sprejmete privzeti format diska in politiko shranjevanja VM. | ||||||
9 | Na Izberite omrežja izberite omrežno možnost s seznama vnosov, da zagotovite želeno povezljivost z VM. | ||||||
10 | Na Prilagodite predlogo strani, konfigurirajte naslednje omrežne nastavitve:
Če želite, lahko preskočite konfiguracijo omrežnih nastavitev in sledite korakom v Nastavite Hybrid Data Security VM da konfigurirate nastavitve iz konzole vozlišča.
| ||||||
11 | Z desno miškino tipko kliknite vozlišče VM in nato izberite .Programska oprema Hybrid Data Security je nameščena kot gost na gostitelju VM. Zdaj ste pripravljeni, da se prijavite v konzolo in konfigurirate vozlišče. Nasveti za odpravljanje težav Preden se vsebniki vozlišč prikažejo, lahko pride do nekajminutne zamude. Med prvim zagonom se na konzoli pojavi sporočilo mostnega požarnega zidu, med katerim se ne morete prijaviti. |
Nastavite Hybrid Data Security VM
S tem postopkom se prvič prijavite v konzolo VM vozlišča Hybrid Data Security in nastavite poverilnice za prijavo. S konzolo lahko konfigurirate tudi omrežne nastavitve za vozlišče, če jih niste konfigurirali ob uvedbi OVA.
1 | V odjemalcu VMware vSphere izberite VM vozlišča Hybrid Data Security in izberite Konzola zavihek. VM se zažene in prikaže se poziv za prijavo. Če se poziv za prijavo ne prikaže, pritisnite Vnesite.
|
2 | Za prijavo in spremembo poverilnic uporabite naslednjo privzeto prijavo in geslo: Ker se v svoj VM vpisujete prvič, morate spremeniti skrbniško geslo. |
3 | Če ste že konfigurirali omrežne nastavitve v Namestite HDS Host OVA, preskočite preostanek tega postopka. V nasprotnem primeru v glavnem meniju izberite Uredi konfiguracijo možnost. |
4 | Nastavite statično konfiguracijo z informacijami o naslovu IP, maski, prehodu in DNS. Vaše vozlišče mora imeti notranji naslov IP in ime DNS. DHCP ni podprt. |
5 | (Izbirno) Spremenite ime gostitelja, domeno ali strežnike NTP, če je potrebno, da se ujemajo z vašo omrežno politiko. Ni vam treba nastaviti domene, da se ujema z domeno, ki ste jo uporabili za pridobitev potrdila X.509. |
6 | Shranite omrežno konfiguracijo in znova zaženite VM, da bodo spremembe začele veljati. |
Naložite in namestite ISO konfiguracije HDS
Preden začneš
Ker datoteka ISO vsebuje glavni ključ, jo je treba razkriti samo na podlagi "potrebe vedeti" za dostop navideznih računalnikov Hybrid Data Security in vseh skrbnikov, ki bodo morda morali narediti spremembe. Prepričajte se, da imajo samo ti skrbniki dostop do shrambe podatkov.
1 | Naložite datoteko ISO iz računalnika: |
2 | Namestite datoteko ISO: |
Kaj storiti naprej
Če vaša politika IT zahteva, lahko po želji odklopite datoteko ISO, potem ko vsa vaša vozlišča prevzamejo spremembe konfiguracije. glej (Izbirno) Odpni ISO po konfiguraciji HDS za podrobnosti.
Konfigurirajte vozlišče HDS za integracijo posrednika
Če omrežno okolje zahteva proxy, s tem postopkom določite vrsto proxyja, s katerim se želite integrirati Hibridna varnost podatkov. Če izberete proxy proxy za pregledovanje ali eksplicitni proxy HTTPS, lahko uporabite vmesnik vozlišča za nalaganje in namestitev korenskega potrdila. Povezavo proxy lahko preverite tudi prek vmesnika in odpravite morebitne težave.
Preden začneš
glej Podpora za proxy za pregled podprtih možnosti proxyja.
1 | Vnesite URL za nastavitev vozlišča HDS |
2 | Pojdi do Trust Store & Proxyin nato izberite možnost:
Sledite naslednjim korakom za pregleden proxy za pregledovanje, eksplicitni proxy HTTP z osnovnim preverjanjem pristnosti ali eksplicitni proxy HTTPS. |
3 | Kliknite Naložite korensko potrdilo ali potrdilo končne entitete, nato pa se pomaknite do izbire korenskega potrdila za proxy. Potrdilo je naloženo, vendar še ni nameščeno, ker morate za namestitev potrdila znova zagnati vozlišče. Kliknite puščico ševrona ob imenu izdajatelja potrdila, da dobite več podrobnosti ali kliknite Izbriši če ste se zmotili in želite znova naložiti datoteko. |
4 | Kliknite Preverite povezavo proxy da preizkusite omrežno povezljivost med vozliščem in posrednikom. Če preizkus povezave ne uspe, boste videli sporočilo o napaki, ki prikazuje razlog in kako lahko odpravite težavo. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS. Ta pogoj je pričakovan v številnih eksplicitnih konfiguracijah proxyja. Lahko nadaljujete z nastavitvijo in vozlišče bo delovalo v načinu blokirane zunanje ločljivosti DNS. Če menite, da je to napaka, dokončajte te korake in si oglejte Izklopite način razreševanja blokiranega zunanjega DNS-ja. |
5 | Ko je preskus povezave uspešen, za eksplicitni proxy, nastavljen samo na https, preklopite stikalo na Usmerite vse https zahteve vrat 443/444 iz tega vozlišča prek eksplicitnega proxyja. Ta nastavitev začne veljati po 15 sekundah. |
6 | Kliknite Namestite vsa potrdila v Trust Store (prikaže se za eksplicitni proxy HTTPS ali pregledni proxy za preverjanje) ali Znova zaženite (prikaže se za eksplicitni proxy HTTP), preberite poziv in kliknite Namestite če si pripravljen. Vozlišče se znova zažene v nekaj minutah. |
7 | Ko se vozlišče znova zažene, se po potrebi znova vpišite in nato odprite Pregled strani, da preverite preverjanja povezljivosti in se prepričate, ali so vsi v zelenem stanju. Preverjanje povezave posrednika testira samo poddomeno webex.com. Če pride do težav s povezljivostjo, je pogosta težava, da so nekatere domene v oblaku, navedene v navodilih za namestitev, blokirane na strežniku proxy. |
Registrirajte prvo vozlišče v gruči
Ko registrirate svoje prvo vozlišče, ustvarite gručo, ki ji je vozlišče dodeljeno. Grozd vsebuje eno ali več vozlišč, nameščenih za zagotavljanje redundance.
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Prijavite se v https://admin.webex.com. |
2 | V meniju na levi strani zaslona izberite Storitve. |
3 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite Nastaviti. Prikaže se stran Register Hybrid Data Security Node.
|
4 | Izberite ja da označite, da ste nastavili vozlišče in ste ga pripravljeni registrirati, in nato kliknite Naslednji. |
5 | V prvo polje vnesite ime za gručo, ki ji želite dodeliti vozlišče Hybrid Data Security. Priporočamo, da gručo poimenujete glede na to, kje se geografsko nahajajo vozlišča gruče. Primeri: "San Francisco" ali "New York" ali "Dallas" |
6 | V drugo polje vnesite notranji naslov IP ali popolnoma kvalificirano ime domene (FQDN) svojega vozlišča in kliknite Naslednji. Ta naslov IP ali FQDN se mora ujemati z naslovom IP ali imenom gostitelja in domeno, ki ste jo uporabili Nastavite Hybrid Data Security VM. Prikaže se sporočilo, ki nakazuje, da lahko svoje vozlišče registrirate v Webex.
|
7 | Kliknite Pojdite na Node. |
8 | Kliknite Nadaljuj v opozorilnem sporočilu. Po nekaj trenutkih ste preusmerjeni na teste povezljivosti vozlišča za storitve Webex. Če so vsi preizkusi uspešni, se prikaže stran Dovoli dostop do vozlišča Hybrid Data Security Node. Tam potrdite, da želite svoji organizaciji Webex dati dovoljenja za dostop do vašega vozlišča.
|
9 | Preverite Dovolite dostop do vašega vozlišča Hybrid Data Security Node potrditveno polje in nato kliknite Nadaljuj. Vaš račun je potrjen in sporočilo »Registracija je dokončana« nakazuje, da je vaše vozlišče zdaj registrirano v oblaku Webex.
|
10 | Kliknite povezavo ali zaprite zavihek, da se vrnete na stran Hybrid Data Security Control Hub. Na Hibridna varnost podatkov stran, se prikaže nova gruča, ki vsebuje vozlišče, ki ste ga registrirali. Vozlišče bo samodejno preneslo najnovejšo programsko opremo iz oblaka.
|
Ustvarite in registrirajte več vozlišč
Trenutno so varnostni VM-ji, ki ste jih ustvarili v Izpolnite predpogoje za hibridno varnost podatkov so gostitelji v pripravljenosti, ki se uporabljajo samo v primeru obnovitve po katastrofi; do takrat niso registrirani v sistemu. Za podrobnosti glejte Obnovitev po nesreči z uporabo podatkovnega centra v pripravljenosti. |
Preden začneš
Ko začnete z registracijo vozlišča, jo morate dokončati v 60 minutah ali pa morate začeti znova.
Prepričajte se, da so v vašem brskalniku onemogočeni vsi blokatorji pojavnih oken ali da dovolite izjemo za admin.webex.com.
1 | Ustvarite nov virtualni stroj iz OVA in ponovite korake Namestite HDS Host OVA. |
2 | Nastavite začetno konfiguracijo na novem VM in ponovite korake v Nastavite Hybrid Data Security VM. |
3 | Na novem VM ponovite korake v Naložite in namestite ISO konfiguracije HDS. |
4 | Če nastavljate proxy za svojo uvedbo, ponovite korake v Konfigurirajte vozlišče HDS za integracijo posrednika kot je potrebno za novo vozlišče. |
5 | Registrirajte vozlišče. Vaše vozlišče je registrirano. Upoštevajte, da dokler ne začnete preizkusa, vaša vozlišča ustvarijo alarm, ki nakazuje, da vaša storitev še ni aktivirana.
|
Kaj storiti naprej
Potek naloge od poskusa do proizvodnje
Ko nastavite gručo Hybrid Data Security, lahko zaženete pilotni projekt, vanj dodate uporabnike in ga začnete uporabljati za preizkušanje in preverjanje vaše uvedbe v pripravah na selitev v proizvodnjo.
Preden začneš
1 | Če je primerno, sinhronizirajte Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati |
2 |
Začni poskus. Dokler ne opravite te naloge, vaša vozlišča ustvarijo alarm, ki nakazuje, da storitev še ni aktivirana. |
3 | Preizkusite svojo hibridno uvedbo varnosti podatkov Preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
4 | Spremljajte varnost hibridnih podatkov Preverite stanje in nastavite e-poštna obvestila za alarme. |
5 | |
6 | Dokončajte preskusno fazo z enim od naslednjih dejanj: |
Aktiviraj preizkus
Preden začneš
Če vaša organizacija uporablja sinhronizacijo imenikov za uporabnike, morate izbrati HdsTrialGroup
predmet skupine za sinhronizacijo z oblakom, preden lahko začnete preskusno obdobje za svojo organizacijo. Za navodila glejte Vodnik za uvajanje za Cisco Directory Connector.
1 | Prijavite se v https://admin.webex.comin nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Začni preizkus. Stanje storitve se spremeni v poskusni način.
|
4 | Kliknite Dodajanje uporabnikov in vnesite e-poštni naslov enega ali več uporabnikov za poskusno uporabo vozlišč Hybrid Data Security za storitve šifriranja in indeksiranja. (Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory za upravljanje poskusne skupine, |
Preizkusite svojo hibridno uvedbo varnosti podatkov
Preden začneš
Nastavite svojo uvedbo Hybrid Data Security.
Aktivirajte preskusno različico in dodajte več poskusnih uporabnikov.
Prepričajte se, da imate dostop do sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security.
1 | Ključe za določen prostor nastavi ustvarjalec prostora. Prijavite se v aplikacijo Webex kot eden od pilotnih uporabnikov, nato pa ustvarite prostor in povabite vsaj enega pilotnega uporabnika in enega nepilotnega uporabnika.
| ||
2 | Pošljite sporočila v novi prostor. | ||
3 | Preverite izhod sistemskega dnevnika, da preverite, ali ključne zahteve prehajajo v vašo uvedbo Hybrid Data Security. |
Spremljajte varnost hibridnih podatkov
1 | notri Nadzorno središče, izberite Storitve iz menija na levi strani zaslona. |
2 | V razdelku Hybrid Services poiščite Hybrid Data Security in kliknite nastavitve. Prikaže se stran z nastavitvami hibridne varnosti podatkov.
|
3 | V razdelku E-poštna obvestila vnesite enega ali več e-poštnih naslovov, ločenih z vejicami, in pritisnite Vnesite. |
Dodajte ali odstranite uporabnike iz svojega preizkusa
Če odstranite uporabnika iz preizkusa, bo uporabnikov odjemalec zahteval ključe in ustvarjanje ključa iz oblaka KMS namesto vašega KMS. Če odjemalec potrebuje ključ, ki je shranjen na vašem KMS, ga bo KMS v oblaku pridobil v imenu uporabnika.
Če vaša organizacija uporablja sinhronizacijo imenikov, uporabite Active Directory (namesto tega postopka) za upravljanje poskusne skupine, HdsTrialGroup
; člane skupine si lahko ogledate v Nadzornem središču, vendar jih ne morete dodati ali odstraniti.
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Preizkusni način v območju Stanje storitve kliknite Dodajanje uporabnikov, ali kliknite ogled in urejanje za odstranitev uporabnikov iz preizkusa. |
4 | Vnesite e-poštni naslov enega ali več uporabnikov, ki jih želite dodati, ali kliknite X z ID-jem uporabnika, da uporabnika odstranite iz preizkusa. Nato kliknite Shrani. |
Premaknite se s preskusne različice na produkcijsko
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Status storitve kliknite Premakni se v proizvodnjo. |
4 | Potrdite, da želite vse svoje uporabnike premakniti v produkcijo. |
Končajte preizkus, ne da bi se preselili v proizvodnjo
1 | Prijavite se v Control Hub in nato izberite Storitve. |
2 | V razdelku Hibridna varnost podatkov kliknite nastavitve. |
3 | V razdelku Deaktiviraj kliknite Deaktiviraj. |
4 | Potrdite, da želite deaktivirati storitev in končati preskusno obdobje. |
Upravljanje uvajanja HDS
Uporabite tukaj opisane naloge za upravljanje svoje razmestitve Hybrid Data Security.
Nastavite urnik nadgradnje gruče
Če želite nastaviti urnik nadgradnje:
1 | Prijavite se v Nadzorno središče. |
2 | Na strani Pregled v razdelku Hibridne storitve izberite Hibridna varnost podatkov. |
3 | Na strani Viri za varnost hibridnih podatkov izberite gručo. |
4 | Na plošči Pregled na desni v razdelku Nastavitve gruče izberite ime gruče. |
5 | Na strani z nastavitvami v razdelku Nadgradnja izberite čas in časovni pas za urnik nadgradnje. Opomba: Pod časovnim pasom sta prikazana datum in čas naslednje razpoložljive nadgradnje. Nadgradnjo lahko po potrebi prestavite na naslednji dan s klikom Odložiti. |
Spremenite konfiguracijo vozlišča
Spreminjanje potrdil x.509 zaradi poteka veljavnosti ali drugih razlogov.
Ne podpiramo spreminjanja imena domene CN potrdila. Domena se mora ujemati z izvirno domeno, uporabljeno za registracijo gruče.
Posodabljanje nastavitev baze podatkov za spremembo v repliko baze podatkov PostgreSQL ali Microsoft SQL Server.
Ne podpiramo selitve podatkov iz PostgreSQL v Microsoft SQL Server ali obratno. Če želite preklopiti okolje baze podatkov, začnite novo uvedbo Hybrid Data Security.
Ustvarjanje nove konfiguracije za pripravo novega podatkovnega centra.
Poleg tega za varnostne namene Hybrid Data Security uporablja gesla storitvenih računov, ki imajo devetmesečno življenjsko dobo. Ko orodje HDS Setup ustvari ta gesla, jih namestite v vsako od svojih vozlišč HDS v konfiguracijski datoteki ISO. Ko se gesla vaše organizacije bližajo izteku, prejmete obvestilo ekipe Webex za ponastavitev gesla za vaš strojni račun. (E-poštno sporočilo vključuje besedilo »Uporabite API računa stroja za posodobitev gesla.«) Če vaša gesla še niso potekla, vam orodje ponuja dve možnosti:
Mehka ponastavitev— Staro in novo geslo delujeta do 10 dni. To obdobje uporabite za postopno zamenjavo datoteke ISO na vozliščih.
Trda ponastavitev— Stara gesla prenehajo delovati takoj.
Če vaša gesla potečejo brez ponastavitve, to vpliva na vašo storitev HDS, saj zahteva takojšnjo strojno ponastavitev in zamenjavo datoteke ISO na vseh vozliščih.
S tem postopkom ustvarite novo konfiguracijsko datoteko ISO in jo uporabite za vašo gručo.
Preden začneš
Orodje HDS Setup deluje kot vsebnik Docker na lokalnem računalniku. Za dostop do njega zaženite Docker na tem računalniku. Postopek namestitve zahteva poverilnice računa Control Hub s polnimi skrbniškimi pravicami za vašo organizacijo.
Če orodje za namestitev HDS deluje za proxyjem v vašem okolju, podajte nastavitve proxyja (strežnik, vrata, poverilnice) prek spremenljivk okolja Docker, ko prikažete vsebnik Docker v 1.e. Ta tabela podaja nekaj možnih spremenljivk okolja:
Opis
Spremenljivka
HTTP Proxy brez avtentikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
HTTPS Proxy brez avtentikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
HTTP proxy z avtentikacijo
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
HTTPS Proxy z avtentikacijo
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Za ustvarjanje nove konfiguracije potrebujete kopijo trenutne konfiguracijske datoteke ISO. ISO vsebuje glavni ključ, ki šifrira bazo podatkov PostgreSQL ali Microsoft SQL Server. ISO potrebujete, ko spreminjate konfiguracijo, vključno s poverilnicami baze podatkov, posodobitvami potrdil ali spremembami pravilnika avtorizacije.
1 | Z Dockerjem na lokalnem računalniku zaženite orodje za namestitev HDS. |
2 | Če imate samo eno vozlišče HDS, ustvarite nov VM vozlišča Hybrid Data Security in ga registrirajte z novo konfiguracijsko datoteko ISO. Za podrobnejša navodila glejte Ustvarite in registrirajte več vozlišč. |
3 | Za obstoječa vozlišča HDS, ki izvajajo starejšo konfiguracijsko datoteko, namestite datoteko ISO. Izvedite naslednji postopek na vsakem vozlišču po vrsti in posodobite vsako vozlišče, preden izklopite naslednje vozlišče: |
4 | Ponovite 3. korak, da zamenjate konfiguracijo na vsakem preostalem vozlišču, ki izvaja staro konfiguracijo. |
Izklopite način razreševanja blokiranega zunanjega DNS-ja
Ko registrirate vozlišče ali preverite konfiguracijo proxy vozlišča, postopek preizkusi iskanje DNS in povezljivost z oblakom Cisco Webex. Če strežnik DNS vozlišča ne more razrešiti javnih imen DNS, vozlišče samodejno preide v način blokiranega zunanjega razreševanja DNS.
Če lahko vaša vozlišča razrešijo javna imena DNS prek notranjih strežnikov DNS, lahko ta način izklopite tako, da na vsakem vozlišču znova zaženete preskus povezave proxy.
Preden začneš
1 | V spletnem brskalniku odprite vmesnik vozlišča Hybrid Data Security (naslov IP/nastavitev, npr. https://192.0.2.0/setup), vnesite skrbniške poverilnice, ki ste jih nastavili za vozlišče, in nato kliknite Prijava. |
2 | Pojdi do Pregled (privzeta stran). Ko je omogočeno, Blokirana zunanja razrešitev DNS je nastavljeno na ja. |
3 | Pojdi na Trust Store & Proxy strani. |
4 | Kliknite Preverite povezavo proxy. Če vidite sporočilo, da zunanja razrešitev DNS ni bila uspešna, vozlišče ni moglo doseči strežnika DNS in bo ostalo v tem načinu. V nasprotnem primeru, ko znova zaženete vozlišče in se vrnete na Pregled stran, Blokirana zunanja DNS resolucija mora biti nastavljena na št. |
Kaj storiti naprej
Odstranite vozlišče
1 | Uporabite odjemalca VMware vSphere v vašem računalniku, da se prijavite v virtualni gostitelj ESXi in izklopite virtualni stroj. |
2 | Odstranite vozlišče: |