Driftsättningsguide för Multi-Tenant Hybrid Data Security (HDS)

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

***Separationens rike (utan hybrid datasäkerhet)***

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Före redundansväxlingen har datacenter A aktiva HDS-noder och den primära PostgreSQL- eller Microsoft SQL Server-databasen, medan B har en kopia av ISO-filen med ytterligare konfigurationer, virtuella maskiner som är registrerade i organisationen och en reservdatabas. Efter redundansväxlingen har datacenter B aktiva HDS-noder och den primära databasen, medan A har oregistrerade virtuella maskiner och en kopia av ISO-filen, och databasen är i vänteläge. — ***Manuell redundansväxling till standby-datacenter***

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Diagram som visar ett exempel på en anslutning mellan Hybrid Data Security, nätverket och en proxy.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 eller 16, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL	Microsoft SQL Server
Postgres JDBC-drivrutin 42.2.5	SQL Server JDBC-drivrutin 4.6 Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med Network Access Translation (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag, om det behövs, genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och rumstitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
30 juli 2026	Uppdaterade avsnittet X.509-certifikatkrav för att specificera att endast RSA-certifikat stöds.
2 juli 2026	Lade till avsnittet Inaktivera molnagenter.
23 juni 2026	Lade till avsnittet Tolka HDS-loggar och förstå agentetiketter.
1 juni 2026	Lade till avsnittet HDS Developer APIs. Lade till en anteckning i avsnittet Kör HDS-installationsverktyget med Podman Desktop.
16 april 2026	Uppdaterade Databasserverkrav för att lägga till stöd för PostgreSQL version 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Uppgifter
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.
Stödd algoritm	Endast RSA-certifikat stöds.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL	Microsoft SQL Server
Postgres JDBC-drivrutin 42.2.5	SQL Server JDBC-drivrutin 4.6 Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänstens huvudnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med nätverksåtkomstöversättning (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din organisation inte har HDS aktiverat i Control Hub och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Du använder sedan ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tolka HDS-loggar och förstå agentetiketter

HDS-loggar ger detaljerad information om KMS-förfrågningar. Dessa loggar innehåller olika fält som hjälper till att identifiera begäran och den tillhörande identiteten. Att förstå dessa fält är avgörande för att korrekt tolka aktiviteter och tillförlitliga interna operationer.

Terminologi

För att säkerställa tydlighet vid granskning av HDS-loggar är det viktigt att förstå följande termer:

Term	Definition
Tjänstekonto	En tjänstidentitet som gör det möjligt för Webex-tjänster att utföra auktoriserade åtgärder på ett säkert sätt.
Agent	En tjänsteentitet eller tjänstekontoidentitet som används för att utföra automatiserade åtgärder inom HDS-miljön.
Agentetikett	En tagg som ingår i HDS-loggar och som identifierar den specifika källan och typen av en inkommande begäran, vilket möjliggör effektiv granskning av åtkomstkontroll.
Delegerad åtkomst	Ett auktoriserat tjänstkonto som gör en begäran för en specifik användare, inom den användarens behörigheter. Visas som en delegeringsförfrågan: `agent -> userid`.

Termen "Agent" i detta sammanhang hänvisar specifikt till HDS-tjänstidentiteter. Dessa är inte relaterade till de AI-drivna agenter som används i andra Webex-funktioner.

En begäran hanteras endast när den kommer från:

en autentiserad användare i din organisation, eller
ett tjänstkonto som finns i, och är auktoriserat av, din organisation.

Översikt över loggfält

Fält	Vad den representerar
Tidsstämpel	Datum och tid för operationen.
kms.data.metod	Den utförda KMS-operationen (t.ex. hämta).
kms.data.orgld	Organisationsidentifierare.
kms.data.httpUserAgent	Klienten eller tjänsten som gör begäran.
WEBEX_SPÅRNINGS-ID	Unik spårningsidentifierare för begäran.
kms.data.uriHost / kms.data.uri	Värden och resursen som begäran är riktad mot.
kms.data.användarld	Identiteten som utför begäran, inklusive en agentetikett.
kms.response.success	Anger om begäran lyckades.

Förfrågningstyper - Snabbreferens

Tagg i logg	Agentetikett	Vad den representerar	Typiska operationer
Användartyp: userAgent	Användaragent	Ett betrott tjänstkonto kopplat till ett användararbetsflöde, begränsat till din organisation.	Creating/managing nycklar för en användarprocess.
o-agent <id> -> användar-ID <id>	Organisationsagent	Ett betrott tjänstekonto på organisationsnivå som använder delegerad åtkomst.	Compliance officers utvinning av Webex-data, kalenderintegrationer.
c-agent <id> -> användar-ID <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran för en specifik användare.	Virusskanning, förhandsgranskning av innehåll, transkriptioner.
c-agent <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran.	ECDHE / sessionsnycklar.
Slutanvändarens UUID	-	Den autentiserade slutanvändaren som interagerar med HDS.	En användare hämtar sin egen nyckel.

Förfrågningstyper - I detalj

Agentetiketter kategoriserar källan till begäran och hjälper till att fastställa lämpliga åtkomstkontroller. Följande exempel visar flera förfrågningstyper och de agentetiketter som är associerade med dem.

Användaragent (användaragent):

Dessa är betrodda Webex-tjänstkonton som är kopplade till specifika användararbetsflöden och är begränsade till kundorganisationen. De används vanligtvis när en tjänst skapar och hanterar nycklar för ett användararbetsflöde.

Exempellogg:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en användaragent (userAgent) som utför resursinsamlingsåtgärder för en Webex-tjänst.
Organisationsagent (o-agent):

Dessa betrodda Webex-tjänstkonton är auktoriserade att utföra delegerade åtgärder för användares räkning inom HDS. Dessa konton är kopplade till kundorganisationen och utför åtgärder på organisationsnivå. Den här funktionen stöder flera funktioner, till exempel att göra det möjligt för efterlevnadsansvariga att söka och extrahera Webex-kommunikationsdata – vilket säkerställer organisationens anpassning till regelverk, säkerhet och datasekretessstandarder.

Exempellogg:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en organisationsagent (o-agent 9[~]c) som hämtar en nyckel för användarens (4[~]b) räkning för en Webex-tjänst.
Molnagent (c-agent):
Dessa betrodda Webex-tjänstkonton är behöriga att utföra åtgärder på HDS via delegerad åtkomst för en användares räkning. De stöder viktiga funktioner – som inspelningar efter möten, transkriptioner, skanning efter skadlig kod och förhandsgranskningar av filer – som förbättrar den övergripande användarupplevelsen.

Även om molnagenter kan inaktiveras genom att ändra ISO-filen, bör kunder vara medvetna om att detta kommer att resultera i förlust av funktioner, till exempel inspelningar efter möten, transkriptioner, förhandsgranskningar av filer och automatiserad skanning efter skadlig kod i Webex App Spaces. För mer information, se avsnittet Inaktivera molnagenter.

Exempellogg:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en molnagent (c-agent b[~]c) som hämtar en innehållsnyckel för användarens (9[~]c) räkning.

Direkt interaktion med slutanvändaren:

En autentiserad användare interagerar direkt med HDS.

Exempellogg:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Nyckelindikator: Exempelloggen visar en slutanvändare (c[~]f) som hämtar en nyckel och interagerar direkt med HDS.

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden överskrids. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmestitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

HDS-utvecklar-API:er

HDS Developer API:er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns tillgängliga på https://developer.webex.com/messaging/docs/api/v1/hds.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Inaktivera molnagenter

Molnagenter (c-agent) är betrodda Webex-tjänstkonton som utför åtgärder på HDS via delegerad åtkomst för en användares räkning för att förbättra den övergripande användarupplevelsen. Att inaktivera molnagenter blockerar Webex-tjänster från att komma åt lokala HDS-nycklar.

Om du inaktiverar molnagenter går funktioner som inspelningar efter möten, transkriptioner, förhandsgranskningar av filer och automatiserad skanning efter skadlig kod i Webex App Spaces förlorade.

Följ stegen nedan för att inaktivera molnagenter för din HDS-distribution.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar.
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att inaktivera molnagenter. Detta säkerställer att molnagenter inte tillåts hantera HDS-trafik. `cloudAgentUpdateEnabled: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i din HDS-distribution. Kontrollera att molnagenter är inaktiverade genom att kontrollera sysloggarna för följande post: 'Uppdatering av molnagent inaktiverad'.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Deployment Guide for Multi-Tenant Hybrid Data Security.

Datum	Ändringar som gjorts
01 oktober 2026	Lade till Migrera HDS-noder mellan stödda hypervisors avsnitt.
21 september 2026	Lade till stöd för Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hypervisor i Virtual Host Requirements. Lagt till stöd för Nutanix hypervisor i Virtual Host Requirements. Lagt till Distribuera och konfigurera HDS på NFVIS avsnitt. Lagt till Distribuera och konfigurera HDS på Nutanix-avsnittet. Uppdaterade procedurer i hela guiden för att inkludera instruktioner för NFVIS- och Nutanix-distributioner. Flyttat avsnittet Standby Data Center for Disaster Recovery under Hantera HDS-driftsättningen.
31 augusti 2026	Tog bort kravet på aktivering av funktionen för flera hyresgäster från avsnittet Cisco WebexLicen skrav.
28 augusti 2026	Lade till en kritisk varning i Förväntningar för distribution av hybriddatas äkerhet om att migrering från Multi-Tenant Hybrid Data Security till Webex cloud KMS inte stöds och avveckling av HDS kommer att resultera i förlust av åtkomst till befintliga krypterade data.
30 juli 2026	Uppdaterade avsnittet X.509-certifikatkrav för att ange att endast RSA-certifikat stöds.
02 juli 2026	Lade till avsnittet Inaktivera Cloud Agents.
23 juni 2026	Lade till avsnittet Tolkning av HDS-loggar och förståelse av agentetiketter.
01 juni 2026	Lade till HDS Developer API:er sektion. Lade till en anteckning till Kör HDS Setup-verktyget med Podman Desktop avsnitt.
16 april 2026	Uppdaterade databasserverkrav för att lägga till stöd för PostgreSQL versionerna 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella hybriddatasäkerhetsnoden.
05 december 2025	Uppdaterad Skapa en konfigurations-ISO för HDS-värdar med rätt användargränssnittstext på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat när du konfigurerar TLS-kryptering.
21 november 2025	L ade till avsnittet Vanliga frågor. Lagt till Ställ in standby-datacenter för katastrofåterställning och katastrofåterställning med hjälp av Standby Data Center sektioner. Borttagen (Beta) från titeln på distributionsguiden.
08 maj 2025	Lagt till Flytta den befintliga HDS-distributionen för en partnerorganisation i Control Hub till en HDS-inställning för flera hyresgäster i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Test Your Hybrid Data Security Deployment. Uppdaterade krav för virtuell värd, aktivitetsflöde för hybriddatasäker hetsdistribution och installera HDS-värddatorn OVA för att lägga till ESXi 8.0-stöd.
04 mars 2025	Lade till Kör HDS Setup-verktyg med Podman Desktop sektion. Lade till en anteckning i Docker Desktop Requirements som ger kunderna ett alternativt alternativ med öppen källkod. Uppdat erad Skapa en konfigurations-ISO för HDS-värdarna och ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
Januari 30, 2025	Lade till SQL-serverversion 2022 i listan över SQL-servrar som stöds i databasserverkrav.
Januari 15, 2025	Tillagda begränsningar av Multi-Tenant Hybrid Datasäkerhet.
08 januari 2025	Lade till en anteckning i Utför första installationen och ladda ner installationsfiler som anger att klicka på Ställ in på HDS-kortet i Partner Hub är ett viktigt steg i installationsprocessen.
07 januari 2025	Uppdaterade krav för virtuell värd, aktivitetsflöde för hybriddatasä kerhetsdistribution och installera HDS-värddatorn OVA för att visa nya krav på ESXi 7.0.
13 december 2024	Först publicerad.

Kom igång med Multi-Tenant Hybrid Datasäkerhet

Översikt över datasäkerhet för hybriddata för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är end-to-end-innehållskryptering, aktiverad av Webex App-klienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera de kryptografiska nycklar som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex App-kunder end-to-end-kryptering med dynamiska nycklar lagrade i molnet KMS, i Ciscos säkerhetsområde. Hybrid Data Security flyttar KMS och andra säkerhets relaterade funktioner till ditt företags datacenter, så ingen utom du har nycklarna till ditt krypterade innehåll.

Multi-Tenant Hybrid Data Security gör det möjligt för organisationer att utnyttja HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna inställning gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är säkra från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över driftsättning och hantering, men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Multi-Tenant Hybrid Data Security ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, som molntjänsteleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om det tillhandahålls av partnern.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybriddatasäkerhetssystem för flera hyresgäster.

Begränsningar av hybriddatasäkerhet för flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Innehavs- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare av kundorganisationer såväl som användare av partnerorganisationen utnyttja Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna de hanterar kommer att ha samma HDS-distribution för flera hyresgäster.

Partnerorganisationen kommer inte längre att använda molnbaserad KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller i hybriddatasäkerhet för flera hyresgäster

Partner full administratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan också tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör - Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administr atör - Administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

End-to-end HDS-installation och hantering av flera hyresgäster för alla kundorganisationer - Fullständiga administratörsrättigheter för partner och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsfältarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata områden, eller förtroendedomäner, som visas nedan.

***Separationsområden (utan hybriddatasäkerhet)***

För att ytterligare förstå Hybrid Data Security, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda platsen där användare kan korreleras direkt med sin personliga information som e-postadress, är logiskt och fysiskt åtskild från säkerhetsområdet i datacenter B. Båda är i sin tur separata från det område där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett mellanslag utförs följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) förblir i Ciscos sfärer.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex App för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningarna till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din multitenant-hybriddatasäkerhetsdistribution.

Förväntningar på implementering av hybriddatasäkerhet

En hybriddatasäkerhetsdistribution kräver betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

Om du vill distribuera hybriddatasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teamsplan erna.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO som du bygger för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera rymdinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men bara nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationen ISO.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Migrering från Multi-Tenant Hybrid Data Security (HDS) till Webex cloud KMS stöds inte. Avveckling av HDS kommer att resultera i förlust av åtkomst till innehåll och data som tidigare krypterats med dessa nycklar. Du måste behålla HDS för att bevara åtkomst till befintligt krypterat innehåll.

Inställningsprocess på hög nivå

Det här dokumentet omfattar installation och hantering av en driftsättning av hybriddatasäkerhet för flera hyresgäster:

Konfigurera hybriddatasäkerhet — Detta inkluderar att förbereda nödvändig infrastruktur och installera programvara för hybriddatasäkerhet, bygga ett HDS-kluster, lägga till klientorganisationer i klustret och hantera deras CMK:er (Customer Main Keys). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid Data Security-kluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution — Webex-molnet tillhandahåller automatiskt löpande uppgraderingar. Din IT-avdelning kan tillhandahålla nivå ett-support för den här distributionen och anlita Cisco-support efter behov. Du kan använda aviseringar på skärmen och ställa in e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem — Om du stöter på problem med att distribuera eller använda hybriddatasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att avgöra och åtgärda problemet.

Distributionsmodell för hybriddatasäkerhet

I företagets datacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra webbuttag och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella apparaten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder den tillhandahållna Syslogd-servern och PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerar Syslogd- och databasanslutningsinformation i HDS-installationsverktyget.)

Distributionsmodell för hybriddatasäkerhet

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster får åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar på round-robin-sätt, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. Om du vill ta bort en enskild nod kan du avregistrera den och senare registrera den om det behövs.

Proxy-stöd

Hybrid datasäkerhet stöder uttryckliga, transparenta inspekterings- och icke-inspekterande proxyer. Du kan knyta dessa proxyer till din distribution så att du kan säkra och övervaka trafiken från företaget ut till molnet. Du kan använda ett plattformsadministratörsgränssnitt på noderna för certifikathantering och för att kontrollera den övergripande anslutningsstatusen när du har ställt in proxyn på noderna.

Noderna för hybriddatasäkerhet stöder följande proxyalternativ:

Ingen proxy — Standard om du inte använder HDS-nodkonfigurationen Trust Store & Proxy för att integrera en proxy. Ingen certifikatuppdatering krävs.
Transparent proxy utan inspektion — Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy som inte inspekterar. Ingen certifikatuppdatering krävs.
Genomskinlig tunnling eller inspektionsproxy — Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP- eller HTTPS-konfigurationsändringar är nödvändiga på noderna. Noderna behöver dock ett rotcertifikat så att de litar på proxyn. Inspektiva proxyer används vanligtvis av IT för att upprätthålla policyer för vilka webbplatser som kan besökas och vilka typer av innehåll som inte är tillåtna. Denna typ av proxy dekrypterar all din trafik (även HTTPS).
Explicit proxy — Med explicit proxy berättar du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. Om du vill konfigurera en explicit proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN —Adress som kan användas för att nå proxydatorn.
2. Proxyport — Ett portnummer som proxyn använder för att lyssna efter proxy-trafik.
3. Proxyprotokoll — Beroende på vad din proxyserver stöder väljer du mellan följande protokoll:
  - HTTP — visar och kontrollerar alla förfrågningar som klienten skickar.
  - https — tillhandahåller en kanal till servern. Klienten tar emot och validerar serverns certifikat.
4. Autentiseringstyp — Välj bland följande autentiseringstyper:
  - Ingen — Ingen ytterligare autentisering krävs.
    
    Tillgänglig om du väljer antingen HTTP eller HTTPS som proxyprotokoll.
  - Grundläggande — Används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder Base64-kodning.
    
    Tillgänglig om du väljer antingen HTTP eller HTTPS som proxyprotokoll.
    
    Kräver att du anger användarnamn och lösenord för varje nod.
  - Sammanfattning —Används för att bekräfta kontot innan du skickar känslig information. Tillämpar en hashfunktion på användarnamnet och lösenordet innan du skickar över nätverket.
    
    Endast tillgängligt om du väljer HTTPS som proxyprotokoll.
    
    Kräver att du anger användarnamn och lösenord för varje nod.

Exempel på hybriddatasäkerhetsnoder och proxy

Detta diagram visar ett exempel på anslutning mellan Hybrid Data Security, nätverk och en proxy. För proxyalternativen transparent inspektion och HTTPS-explicit inspektion måste samma rotcertifikat installeras på proxyservern och på noderna för hybriddatasäkerhet.

Diagram showing an example connection between the Hybrid Data Security, network and a proxy.

Blockerat externt DNS-upplösningsläge (explicita proxykonfigurationer)

När du registrerar en nod eller kontrollerar nodens proxykonfiguration testar processen DNS-sökning och anslutning till Cisco Webex molnet. I distributioner med uttryckliga proxykonfigurationer som inte tillåter extern DNS-upplösning för interna klienter, om noden inte kan fråga DNS-servrarna, går den automatiskt till läget Blockerad extern DNS-upplösning. I det här läget kan nodregistrering och andra proxyanslutningstester fortsätta.

Förbered din miljö

Krav för hybriddatasäkerhet för flera hyresgäster

Cisco WebexLicenskrav

Så här distribuerar du hybriddatasäkerhet för flera hyresgäster:

Hyresgästorganisationer: Du måste ha Pro Pack förCisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker Desktop

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker uppdaterade nyligen sin licensmodell. Din organisation kan kräva en betald prenumeration för Docker Desktop. Mer information finns i Docker-blogginlägget, "Docker uppdaterar och utökar våra produkt prenumerationer ”.

Kunder utan Docker Desktop-licens kan använda ett containerhanteringsverktyg med öppen källkod som Podman Desktop för att köra, hantera och skapa containrar. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

X.509 Certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för distribution av hybriddatasäkerhet
Krav	Detaljer
Signerad av en betrod Certificate Authority d (CA)	Som standard litar vi på CA: erna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Bär ett CN-domännamn (Common Name) som identifierar din hybriddatasäkerhetsdistribution Är inte ett jokerteckencertifikat	CN behöver inte vara nåbar eller vara en levande värd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com.` CN får inte innehålla ett * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex App-klienter. Alla noder för hybriddatasäkerhet i klustret använder samma certifikat. Din KMS identifierar sig själv med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte att ändra CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för validering av anslutningar till andra organisationers KMS.
Formaterad som en lösenordsskyddad PKCS #12 -fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en omvandlare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS Setup Tool.
Algoritm som stöds	Endast RSA-certifikat stöds.

KMS-programvaran tillämpar inte nyckelanvändningsbegränsningar eller utökade nyckelanvändningsbegränsningar. Vissa certifikatmyndigheter kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav på virtuell värd

De virtuella värdarna som du konfigurerar som hybriddatasäkerhetsnoder i klustret har följande krav:

Minst två separata värdar (3 rekommenderas) placerade i samma säkra datacenter
Hypervisorer som stöds:
- VMware ESXi 7.0 eller 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) version 26.2.1.
- Nutanix AOS 7.5.x med Nutanix AHV 11.0.x.
Minst 4 vCPU: er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server.

Databasserverkrav

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. När HDS-programmen installeras skapar databasschemat.

Det finns två alternativ för databasserver. Kraven för var och en är följande:

Tabell 2. Databasserverkrav efter typ av databas
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och körs.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU: er, 16 GB huvudminne, tillräckligt hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU: er, 16 GB huvudminne, tillräckligt hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On (alltid på klusterinstanser vid fel och tillgäng lighetsgrupper Always On).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckellagringsdatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot som du tillhandahåller HDS-noder måste ha läs-/skrivåtkomst till databasen.
De DNS-servrar som du tillhandahåller till HDS-noder måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) på din. Active Directory Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startaren och den lokala KMS behöver alla använda Windows-autentisering för att komma åt nyckellagringsdatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när du begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Ansökan	Protokoll	Hamn	Riktning från App	Bestämmelseort
Hybriddatasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra webbadresser som listas för hybriddatasäkerhet i tabellen Ytterligare webbadresser för Webex Hybrid Services i N ätverkskrav för We bex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Noderna för hybriddatasäkerhet fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter nödvändiga utgående anslutningar till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. I ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Regionen	Vanliga identitetsvärd-webbadresser
Amerikaner	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxyserverkrav

Vi stöder officiellt följande proxylösningar som kan integreras med dina Hybrid Data Security-noder.
- Transparent proxy — Cisco Web Security Appliance (WSA).
- Explicit proxy - bläckfisk.
  
  Squid-proxyer som inspekterar HTTPS-trafik kan störa upprättandet av websocket (wss:) -anslutningar. Information om hur du kringgår problemet finns i Konfigurera Squid-proxyer för hybriddatasäkerhet.
Vi stöder följande kombinationer av autentiseringstyper för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Sammanfattningsautentisering endast med HTTPS
För en transparent inspekterande proxy eller en HTTPS-explicit proxy måste du ha en kopia av proxyns rotcertifikat. Installationsinstruktionerna i den här guiden berättar hur du laddar upp kopian till Hybrid Data Security-nodernas förtroendelager.
Nätverket som är värd för HDS-noderna måste konfigureras för att tvinga utgående TCP-trafik på port 443 att dirigera genom proxyservern.
Proxyer som inspekterar webbtrafik kan störa webbsocketanslutningar. Om detta problem uppstår löser du problemet genom att kringgå (inte inspektera) trafik till wbx2.com och ciscospark.com.

Fyll i förutsättningarna för hybriddatasäkerhet

Använd den här checklistan för att se till att du är redo att installera och konfigurera ditt hybriddatasäkerhetskluster.

1	Se till att organisationen inte har HDS aktiverat i Control Hub och få autentiseringsuppgifterna för ett konto med partnerns fullständiga administratörsrättigheter och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack förCisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarig för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för HDS-distributionen (till exempel `hds.company.com`) och få en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509 Certifikatkrav.
3	Förbered identiska virtuella värdar som du ställer in som hybriddatasäkerhetsnoder i klustret. Du behöver minst två separata värdar (3 rekommenderas) placerade i samma säkra datacenter, som uppfyller kraven i Virtual Host Requirements.
4	Förbered databasservern som ska fungera som nyckeldatalager för klustret, enligt databasserverkraven. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen — använd inte standarddatabasen. När HDS-programmen installeras skapar databasschemat.) Samla informationen som noderna ska använda för att kommunicera med databasservern: värdnamn eller IP-adress (värd) och port namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla behörigheter i nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 virtuella datorer.
6	Ställ in en syslog-värd för att samla in loggar från noderna i klustret. Samla dess nätverksadress och syslog-port (standard är UDP 514).
7	Skapa en säker säkerhetskopieringsprincip för noderna Hybrid Data Security, databasservern och syslog-värden. För att förhindra oåterkallelig dataförlust måste du åtminstone säkerhetskopiera databasen och konfigurations-ISO-filen som genereras för noderna Hybrid Data Security. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används för kryptering och dekryptering av innehåll kommer under låtenhet att upprätthålla en operativ distribution att leda till att innehållet inte kan återställas. Webex App-klienter cachelagrar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, kan de återvinnas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen kommer dock att resultera i att kunddata inte kan återställas. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla frekventa säkerhetskopior av databasen och konfigurations-ISO-filen, och vara beredda att bygga om Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina hybrida datasäkerhetsnoder enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker (https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt den på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-installationsverktyget, som bygger den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Mer information finns i Docker-skrivbordskrav. För att installera och köra HDS-installationsverktyget måste den lokala datorn ha den anslutning som beskrivs i K rav på extern anslutning.
10	Om du integrerar en proxy med hybriddatasäkerhet kontrollerar du att den uppfyller proxyserverkraven.

Konfigurera ett hybriddatasäkerhetskluster

Aktivitetsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första inställningen och ladda ner installationsfiler Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS Setup Tool för att skapa en ISO-konfigurationsfil för noderna Hybrid Data Security.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den första konfigurationen, till exempel nätverksinställningar. Konfigurering av nätverksinställningar under OVA-distribution stöds endast i ESXi 7.0 och 8.0. För NFVIS-distributioner, se Installera HDS-värddatorn OVA på NF VIS. För Nutanix-distributioner, se Installera HDS Host OVA på Nutanix
4	Konfigurera virtuell hybriddatasäkerhet Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA- distributionen. För NFVIS-distributioner, se Konfigurera virtuell hybriddatasäkerhet på NFVIS. För Nutanix-distributioner, se Skapa virtuell hybriddatasäkerhet på Nutanix
5	Ladda upp och montera HDS-konfigurations-ISO Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS Setup Tool. För NFVIS-distributioner, se Ladda upp och montera HDS-konfigurations-ISO. För Nutanix-distributioner, se Ladda upp och montera HDS-konfigurations-ISO
6	Konfigurera HDS-noden för proxyintegration Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som ska användas för noden och lägger till proxycertifikatet i förtroendelagret om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinställningen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera klientorganisationer på Partner Hub.

Utför den första inställningen och ladda ner installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar du har ställt in som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	Leta reda på kortet för hybriddatasäkerhet i avsnittet Hybrid och klicka sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Hämta OVA-fil på kortet Installera och konfigurera programvara. Äldre versioner av programvarupaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av programmet. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från hjälpav snittet. Klicka på Inställningar > Hjälp > Hämta programvara för hybriddatasäkerhet. OVA-filen börjar automatiskt ladda ner. Spara filen på en plats på datorn.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5 nedan. Denna tabell ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxy utan autentisering

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-proxy med autentisering

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy med autentisering

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

1

Ange lämpligt kommando för din miljö på maskinens kommandorad:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.

2

Om du vill logga in på Docker-avbildningsregistret anger du följande:

docker login -u hdscustomersro

3

Ange denna hash vid lösenordsprompten:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Ladda ner den senaste stabila bilden för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När dragningen är klar anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs visas ”Expressserver lyssnar på port 8080.”

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörens användarnamn för Partner Hub vid uppmaningen.

Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.

7

När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

Klicka på Kom igång på översiktssidan Installationsverktyg.

9

På sidan ISO-import har du följande alternativ:

Nej — Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja — Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringen och laddar upp den.

10

Kontrollera att X.509-certifikatet uppfyller kraven i X.509-certifik atkrav.

Om du aldrig har laddat upp ett certifikat tidigare laddar du upp X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om certifikatet har löpt ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO? . Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att komma åt ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server visas fältet Autentiseringstyp.
(Endast Microsoft SQL Server) Välj autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn @DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formuläret: <hostname><port>eller: <IP-address><port>.

Exempel:
dbhost.example. org:1433 eller 198.51.100. 17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet db host.example.org:1433
Ange databasnamnet.
Ange användarnamn och lösenord för en användare med alla behörigheter i nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Läge	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte TLS för att ansluta till databasservern. Om du aktiverar TLS på databasservern försöker noderna en krypterad anslutning.
Kräv TLS	HDS-noder ansluts endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikatsignerare	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluts endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden signeraren av certifikatet från databasservern med certifikatutfärdaren i databasrot certifikatet. Om de inte matchar tappar noden anslutningen. Använd kontrollen Databasrotcertifikat under rullgardinsmenyn för att ladda upp rotcertifikatet för det här alternativet.
Kräv TLS och verifiera certifikatsignerare och värdnamn	HDS-noder ansluts endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden signeraren av certifikatet från databasservern med certifikatutfärdaren i databasrot certifikatet. Om de inte matchar tappar noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, annars tappar noden anslutningen. Använd kontrollen Databasrotcertifikat under rullgardinsmenyn för att ladda upp rotcertifikatet för det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar också certifikatsigneraren och värdnamnet, om tillämpligt. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om HDS-inställningsverktygsmaskinen inte kan testa den.)

13

Konfigurera Syslogd-servern på sidan Systemloggar:

Ange syslog-serverns URL.

Om servern inte är DNS-lösbar från noderna för ditt HDS-kluster använder du en IP-adress i webbadressen.

Exempel:
udp: //10.92.43. 23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du ställer in servern för att använda TLS-kryptering markerar du Är servern konfigurerad för TLS-förhandling/hand skakning? .

Om du markerar den här kryssrutan måste du ange en TCP-URL, t.ex. tcp: //10.92.43. 23:514, och ladda upp syslog-rotcertifikatet.
Välj lämplig inställning för ISO-filen i listrutan Välj avslutande av syslog-post: Välj eller Newline används för Graylog och Rsyslog TCP
- Nollbyte --\ x00
- Newline --\n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. I allmänhet är den här parametern den enda som du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekon ton.

Lösenord för servicekonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgången eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget skriver du CTRL+C.

Vad du ska göra härnäst

Säkerhetskopiera konfigurations-ISO-filen. Du behöver det för att skapa fler noder för återställning, eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också tappat huvudnyckeln. Det är inte möjligt att återställa nycklarna från PostgreSQL- eller Microsoft SQL Server-databasen.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du tappar den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Installera HDS-värddatorn OVA på NF VIS.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Installera HDS Host OVA på Nut anix.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värddatorn.
2	Välj Ar kiv > Distribuera OVF-mall.
3	Ange platsen för OVA-filen som du hämtade tidigare i guiden och klicka sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_node_1"), väljer en plats där distributionen av den virtuella datorns nod kan finnas och klicka sedan på Nästa.
5	Välj målberäkningsresursen på sidan Välj en beräkningsresurs och klicka sedan på Nästa. En valideringskontroll körs. När det är klart visas malldetaljerna.
6	Kontrollera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och klickar sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och principen för VM-lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan med poster för att ge önskad anslutning till den virtuella datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall: Värdnamn — Ange FQDN (värdnamn och domän) eller ett enda ordvärdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering till molnet använder du bara gemener i det FQDN eller värdnamn som du anger för noden. Kapitalisering stöds inte just nu. Den totala längden på FQDN får inte överstiga 64 tecken. IP-adress — Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask — Ange subnätmaskadressen i punktdecimalnotation. Till exempel 255.255.255.0. Gateway — Ange gateway-IP-adressen. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar — Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till 4 DNS-poster är tillåtna.) NTP-servrar —Ange organisationens NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard NTP-servrar kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN, så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om så önskas kan du hoppa över nätverksinställningskonfigurationen och följa stegen i Konfigurera virtuell hybriddatasäker het för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på noden VM och välj sedan Str öm > Slå på. Programvaran Hybrid Data Security installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna kommer upp. Ett bridge-brandväggsmeddelande visas på konsolen under den första starten, under vilken du inte kan logga in.

Konfigurera virtuell hybriddatasäkerhet

Använd den här proceduren för att logga in på VM-konsolen för hybriddatasäkerhetsnoden för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Konfigurera virtuell hybriddatasäkerhet på NF VIS.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Skapa virtuell hybriddatasäkerhet på Nut anix.

1	I VMware vSphere-klienten väljer du din virtuella dator med hybriddatasäkerhetsnod och väljer fliken Kon sol. VM startar upp och en inloggningsprompt visas. Om inloggningsprompten inte visas trycker du på Ret ur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Logga in: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Ställ in en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server (er) om det behövs för att matcha din nätverksprincip. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO

Använd den här proceduren för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-installationsverktyget.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Ladda upp och montera HDS-konfigurationens ISO.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Ladda upp och montera HDS-konfigurationen ISO.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras på ”behov av att veta” -basis, för åtkomst av virtuella hybriddatasäkerhetsmän och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från din dator:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringsfönster.
Klicka på Lag ring i listan Maskinvara på fliken Konfiguration.
Högerklicka på datalagret för dina virtuella datorer i listan Datastores och klicka på Bläddra i Datastore.
Klicka på ikonen Ladda upp filer och klicka sedan på Ladda upp fil.
Bläddra till platsen där du hämtade ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera varningen för överföring/nedladdning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

Högerklicka på den virtuella datorn i VMware vSphere-klientens vänstra navigerings fönster och klicka på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en datalagrings ISO-fil och bläddra till den plats där du laddade upp konfigurations-ISO-filen.
Kontrollera An slut en och Anslut vid påslagning.
Spara dina ändringar och starta om den virtuella maskinen.

Vad du ska göra härnäst

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen när alla dina noder har tagit upp konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxyintegration

Om nätverksmiljön kräver en proxy använder du den här proceduren för att ange vilken typ av proxy som du vill integrera med Hybrid Data Security. Om du väljer en transparent inspektionsproxy eller en HTTPS-explicit proxy kan du använda nodens gränssnitt för att ladda upp och installera rotcertifikatet. Du kan också kontrollera proxyanslutningen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxy Support för en översikt över de proxyalternativ som stöds.
Proxyserverkrav

1	Ange webbadressen för HDS-nodens `inställning https://[HDS Nod IP eller FQDN] /setup` i en webbläsare, ange de administratörsuppgifter som du har ställt in för noden och klicka sedan på Logga in.
2	Gå till Trust Store & Proxy och välj sedan ett alternativ: Ingen proxy — standardalternativet innan du integrerar en proxy. Ingen certifikatuppdatering krävs. Transparent icke-inspekterande proxy — Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy som inte inspekterar. Ingen certifikatuppdatering krävs. Transparent inspektionsproxy — Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTPS-konfigurationsändringar krävs för Hybrid Data Security-distributionen, men HDS-noderna behöver ett rotcertifikat så att de litar på proxyn. Inspektiva proxyer används vanligtvis av IT för att upprätthålla policyer för vilka webbplatser som kan besökas och vilka typer av innehåll som inte är tillåtna. Denna typ av proxy dekrypterar all din trafik (även HTTPS). Explicit proxy — Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN —Adress som kan användas för att nå proxydatorn. Proxyport — Ett portnummer som proxyn använder för att lyssna efter proxy-trafik. Proxyprotokoll — Välj http (visar och kontrollerar alla begäranden som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver stöder. Autentiseringstyp — Välj bland följande autentiseringstyper: Ingen — Ingen ytterligare autentisering krävs. Tillgänglig för HTTP- eller HTTPS-proxyer. Grundläggande — Används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder Base64-kodning. Tillgänglig för HTTP- eller HTTPS-proxyer. Om du väljer det här alternativet måste du också ange användarnamn och lösenord. Sammanfattning —Används för att bekräfta kontot innan du skickar känslig information. Tillämpar en hashfunktion på användarnamnet och lösenordet innan du skickar över nätverket. Endast tillgängligt för HTTPS-proxyer. Om du väljer det här alternativet måste du också ange användarnamn och lösenord. Följ nästa steg för en transparent inspektionsproxy, en uttrycklig HTTP-proxy med grundläggande autentisering eller en HTTPS-explicit proxy.
3	Klicka på Ladda upp ett rotcertifikat eller slutentitet scertifikat och navigera sedan till ett välj rotcertifikat för proxyn. Certifikatet har laddats upp men ännu inte installerat eftersom du måste starta om noden för att installera certifikatet. Klicka på pilen vid certifikatutfärdarens namn för att få mer information eller klicka på Ta bort om du gjorde ett misstag och vill ladda upp filen igen.
4	Klicka på Kontrollera proxyanslutning för att testa nätverksanslutningen mellan noden och proxyn. Om anslutningstestet misslyckas visas ett felmeddelande som visar orsaken och hur du kan åtgärda problemet. Om du ser ett meddelande om att extern DNS-upplösning inte lyckades kunde noden inte nå DNS-servern. Detta villkor förväntas i många explicita proxykonfigurationer. Du kan fortsätta med installationen, och noden kommer att fungera i läget Blockerad extern DNS-upplösning. Om du tror att det här är ett fel, utför du de här stegen och läser sedan In aktivera blockerat externt DNS-upplösningsläge.
5	När anslutningstestet har passerat, för explicit proxy inställd på endast https, slå på växeln för att dirigera alla port 443/444 https-förfrågningar från den här noden via den explic ita proxyn. Den här inställningen tar 15 sekunder för att träda i kraft.
6	Klicka på Installera alla certifikat i Trust Store (visas för en HTTPS-explicit proxy eller en genomskinlig inspektionsproxy) eller Starta om (visas för en explicit HTTP-proxy), läs prompten och klicka sedan på Installera om du är redo. Noden startar om inom några minuter.
7	När noden har startat om loggar du in igen om det behövs och öppnar sedan sidan Översikt för att kontrollera anslutningskontrollerna för att se till att alla har grön status. Proxyanslutningskontrollen testar endast en underdomän till webex.com. Om det finns anslutningsproblem är ett vanligt problem att vissa av molndomänerna som anges i installationsinstruktionerna blockeras vid proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera virtuell hybriddatas äkerhet, registrerar noden med Webex-molnet och förvandlar den till en hybrid datasäkerhetsnod.

När du registrerar den första noden skapar du ett kluster som noden är tilldelad till. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du börjar registrera en nod måste du slutföra den inom 60 minuter eller så måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security-kort och klickar på Ställ in.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet i Skapa ett nytt kluster kort anger du ett namn för det kluster som du vill tilldela noden för hybriddatasäkerhet till. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: ”San Francisco” eller ”New York” eller ”Dallas”
6	I det andra fältet anger du den interna IP-adressen eller fullt kvalificerat domännamn (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Den här IP-adressen eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera virtuell hybriddatasäkerhet. Ett meddelande visas som indikerar att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge behörigheter till din Webex-organisation att komma åt din nod.
8	Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybriddatasä kerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resur ser. Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella datorer och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du börjar registrera en nod måste du slutföra den inom 60 minuter eller så måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA genom att upprepa stegen i Installera HDS-värddatorn OVA.
2	Ställ in den ursprungliga konfigurationen på den nya virtuella datorn genom att upprepa stegen i Konfigurera virtuell hybriddatasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISO på den nya virtuella datorn.
4	Om du konfigurerar en proxy för distributionen upprepar du stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjän ster från menyn till vänster på skärmen. I avsnittet Hybrid hittar du Hybrid Data Security-kortet och klickar på Visa alla. Sidan Hybriddatasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resur ser. Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange den interna IP-adressen eller fullständigt kvalificerat domännamn (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Pop@@ up-meddelande som läggs till nod visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Vad du ska göra härnäst

Om du vill skapa ytterligare kluster loggar du in på Partner Hub och klickar på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i ytterligare kluster eller kluster.

Hantera klientorganisationer med hybriddatasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare av kundorganisationer kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt Multi-Tenant HDS-kluster med önskat antal noder.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på HDS-statuskortet.

Lägga till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybrida datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. F liken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till i rullgardinsmenyn.
7	Klicka på Lägg till, kunden läggs till i klustret.
8	Upprepa steg 5 till 7 om du vill lägga till flera kunder i klustret.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras över alla tillgängliga kluster.

Vad du ska göra härnäst

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till klientorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

1	Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.
2	Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro`
3	Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.”
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörens användarnamn för Partner Hub vid uppmaningen. Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.
7	När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	Klicka på Kom igång på översiktssidan Installationsverktyg.
9	Klicka på Ja på sidan ISO-import.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till databasen för att utföra CMK-hantering.
11	Gå till fliken Ten ant CMK Management, där du hittar följande tre sätt att hantera Tenant CMK: er. Skapa CMK för alla ORGs eller Skapa CMK - Klicka på den här knappen på bannern högst upp på skärmen för att skapa CMK för alla nyligen tillagda organisationer. Klicka på Hantera CMK :er knappen till höger på skärmen och klicka på Skapa CMK:er för att skapa C MK:er för alla nyligen tillagda organisationer. Klick nära CMK-hanteringsväntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När skapandet av CMK har lyckats ändras statusen i tabellen från CMK-hantering väntande till CM K- hanterad.
13	Om skapandet av CMK misslyckas visas ett fel.

Ta bort hyresgästorganisationer

Innan du börjar

När de har tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, kontakta din Cisco-partner eller kontoansvarig.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Visa alla.
4	Klicka på fliken Till delade kunder på sidan som öppnas.
5	Klicka på i listan över kundorganisationer som visas till höger om den kundorganisation du vill ta bort och klicka på Ta bort från kluster.

Vad du ska göra härnäst

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Åter kalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort klientorganisationer. Kör installationsverktyget för HDS för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

1	Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.
2	Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro`
3	Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.”
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörens användarnamn för Partner Hub vid uppmaningen. Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.
7	När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	Klicka på Kom igång på översiktssidan Installationsverktyg.
9	Klicka på Ja på sidan ISO-import.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Ten ant CMK Management, där du hittar följande tre sätt att hantera Tenant CMK: er. Återkalla CMK för alla ORG:er eller Åter kalla CMK - Klicka på den här knappen på bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som togs bort. Klicka på knappen Hantera C MK:er till höger på skärmen och klicka på Åter kalla CMK:er för att återkalla C MK:er för alla organisationer som tagits bort. Klick nära CMK som ska återkallas status för en viss organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelse misslyckas visas ett fel.

Testa distributionen av hybriddatasäkerhet

Testa din hybriddatasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier för hybriddatasäkerhet för flera hyresgäster.

Innan du börjar

Konfigurera distributionen av hybriddatasäkerhet för flera hyresgäster.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar överförs till din multitenant-hybriddatasäkerhetsdistribution.

1

Nycklar för ett visst utrymme ställs in av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar hybriddatasäkerhetsdistributionen är innehållet i utrymmen som användarna skapar inte längre tillgängligt när de klientcachade kopior av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna överförs till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen utnyttjar HDS för flera hyresgäster. Kontrollera värdet på kms.data.orgID i syslogs.

För att söka efter en användare som först skapar en säker kanal till KMS, filtrera på kms.data.method=create och kms.dat a.type=ephemeral_key_collection:

Du bör hitta en post som följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär en befintlig nyckel från KMS, filtrera på kms.data.method=och kms.dat a.type=key:

Du bör hitta en post som:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär skapandet av en ny KMS-nyckel, filtrera på kms.data.method=create och kms.dat a.type=key_collection:

Du bör hitta en post som:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär skapandet av ett nytt KMS Resource Object (KRO) när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms. data.type=Resource_Collection:

Du bör hitta en post som:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tolka HDS-loggar och förstå agentetiketter

HDS-loggar ger detaljerad information om KMS-förfrågningar. Dessa loggar innehåller olika fält som hjälper till att identifiera typen av begäran och den tillhörande identiteten. Att förstå dessa områden är avgörande för korrekt tolkning av aktiviteter och betrodda interna operationer.

Terminologi

För att säkerställa tydlighet när du granskar HDS-loggar är det viktigt att förstå följande termer:

Termin	Definition
Servicekonto	En tjänstidentitet som gör det möjligt för Webex-tjänster att utföra auktoriserade åtgärder på ett säkert sätt.
Ombud	En tjänsteenhet eller ett tjänstekonto som används för att utföra automatiserade operationer inom HDS-miljön.
Agentetikett	En tagg som ingår i HDS-loggar som identifierar den specifika källan och typen för en inkommande begäran, vilket möjliggör effektiv åtkomstkontrollgranskning.
Delegerad åtkomst	Ett auktoriserat servicekonto som gör en begäran för en specifik användare, inom användarens behörigheter. Visas som en delegeringsbegäran: `agent -> userid`.

Termen ”Agent” avser i detta sammanhang specifikt HDS-tjänsteidentiteter. Dessa är inte relaterade till AI-drivna agenter som används i andra Webex-funktioner.

En begäran delges endast om den härrör från:

en autentiserad användare i organisationen, eller
ett servicekonto som finns i, och är auktoriserat av, din organisation.

Översikt över loggfält

Fält	Vad det representerar
Tidsstämpel	Datum och tid för operationen.
kms.data.metod	Den utförda KMS-operationen (t.ex. hämta).
kms.data.orgld	Organisationsidentifierare.
KMS.Data.HttpUserAgent	Kunden eller tjänsten som gör begäran.
WEBEX_TRACKINGID	Unik spårningsidentifierare för begäran.
kms.data.uriHost/kms.data.uri	Värd och resurs som förfrågan riktar sig till.
kms.data.userld	Identiteten som utför begäran, inklusive en agentetikett.
kms.response.framgång	Anger om begäran lyckades.

Begärningstyper - Snabbreferens

Tagg i logg	Agentetikett	Vad det representerar	Typiska operationer
Användartyp: UserAgent	Användaragent	Ett betrodd tjänstkonto kopplat till ett användararbetsflöde, som omfattas av din organisation.	Skapa/hantera nycklar för en användarprocess.
o-agent <id>-> användar-id <id>	Organisationsagent	Ett betrodd tjänstekonto på organsnivå med delegerad åtkomst.	Compliance Officer's extrahering av Webex-data, kalenderintegrationer.
c-agent <id>-> användar-id <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran för en viss användare.	Virusskanning, förhandsgranskning av innehåll, transkript.
c-agent <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran.	ECDHE/sessionstangenter.
Slutanvändarens UUID	-	Den autentiserade slutanvändaren som interagerar med HDS.	En användare hämtar sin egen nyckel.

Begärningstyper - I detalj

Agentetiketter kategoriserar källan till begäran och hjälper till att bestämma lämpliga åtkomstkontroller. Följande exempel visar flera begäranstyper och de agentetiketter som är associerade med dem.

Användaragent (UserAgent):

Dessa är betrodda Webex-tjänstkonton som är associerade med specifika användararbetsflöden och omfattas av kundorganisationen. De används vanligtvis när en tjänst skapar och hanterar nycklar på uppdrag av ett användararbetsflöde.

Provlogg:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en användaragent (UserAgent) som utför resursinsamlingsåtgärder för en Webex-tjänst.
Organisationsagent (o-agent):

Dessa betrodda Webex-tjänstkonton har behörighet att utföra delegerade åtgärder på uppdrag av användare inom HDS. Dessa konton är anpassade till kundorganisationen och utför operationer på organisationsnivå. Den här funktionen stöder flera funktioner, till exempel att göra det möjligt för efterlevnadsansvariga att söka och extrahera Webex-kommunikationsdata - vilket säkerställer organisatorisk anpassning till regler, säkerhet och datasekretessstandarder.

Provlogg:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en orgagent (o-agent 9 [~] c) som hämtar en nyckel för användarens räkning (4 [~] b) för en Webex-tjänst.
Molnagent (c-agent):
Dessa betrodda Webex-tjänstkonton har behörighet att utföra åtgärder på HDS via delegerad åtkomst för en användares räkning. De stöder viktiga funktioner - till exempel inspelningar efter mötet, transkript, skanning mot skadlig programvara och förhandsgranskningar av filer som förbättrar den övergripande användarupplevelsen.

Även om Cloud Agents kan inaktiveras genom att ändra ISO, bör kunderna vara medvetna om att detta kommer att resultera i förlust av funktioner, till exempel inspelningar efter mötet, transkript, förhandsgranskningar av filer och automatiserad skanning av skadlig programvara i Webex App Spaces. Mer information finns i avsnittet In aktivera molnagenter.

Provlogg:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en molnagent (c-agent b [~] c) som hämtar en innehållsnyckel för användarens räkning (9 [~] c).

Slutanvändarens direkta interaktion:

En autentiserad användare som interagerar med HDS direkt.

Provlogg:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Nyckelindikator: Provloggen visar en slutanvändare (c [~] f) som hämtar en nyckel och interagerar direkt med HDS.

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är bra med implementeringen av Multi-Tenant Hybrid Data Security. För mer proaktiv varning, registrera dig för e-postmeddelanden. Du får ett meddelande när det finns servicepåverkande larm eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjän ster från menyn till vänster på skärmen.
2	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	Skriv en eller flera e-postadresser åtskilda med kommatecken i avsnittet E-postmeddelanden och tryck på Retur.

Hantera din HDS-driftsättning

Hantera HDS-driftsättning

Använd de uppgifter som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in klusteruppgraderingsschema

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 03:00 Daily United States: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Konfigurera
4	Välj klustret på sidan Hybriddatasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar.
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. No tera: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan skjuta upp uppgraderingen till nästa dag, om det behövs, genom att klicka på Upp skjuta med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen för din Hybrid Data Security-nod av en anledning som:

Ändra x.509-certifikat på grund av utgångsdatum eller andra skäl.

Vi stöder inte att ändra CN-domännamnet för ett certifikat. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdatera databasinställningar för att ändra till en kopia av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill byta databasmiljö startar du en ny distribution av Hybrid Data Security.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder Hybrid Data Security också lösenord för tjänstkonton som har en livslängd på nio månader. När HDS- installationsverktyget har genererat dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigur ationsfilen. När organisationens lösenord närmar sig utgången får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten ”Använd maskinkontots API för att uppdatera lösenordet.”) Om dina lösenord inte har löpt ut ännu ger verktyget dig två alternativ:

Mjuk återställning — Både gamla och nya lösenord fungerar i upp till 10 dagar. Använd den här perioden för att ersätta ISO-filen på noderna gradvis.
Hård åter ställning - De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord löper ut utan återställning påverkar det din HDS-tjänst, vilket kräver en omedelbar hård återställning och ersättning av ISO-filen på alla noder.

Använd den här proceduren för att skapa en ny konfigurations-ISO-fil och tillämpa den på ditt kluster.

Innan du börjar

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med partnerns fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du pro xyinställningarna (server, port, referenser) via Docker-miljö variabler när du tar upp Docker-behållaren i 1.e. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella konfigurations-ISO-filen för att skapa en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO när du gör konfigurationsändringar, inklusive databasautentiseringsuppgifter, certifikatuppdateringar eller ändringar av auktoriseringsprincip.

1	Använd Docker på en lokal dator och kör HDS Setup Tool. Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera. Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro` Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du drar det senaste installationsverktyget för den här proceduren. Versioner av verktyget som skapats före 22 februari 2018 har inte skärmarna för återställning av lösenord. När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en httpsProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.” Använd en webbläsare för att ansluta till localhost, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas anger du dina inloggningsuppgifter för Partner Hub och klickar sedan på Accep tera för att fortsätta. Importera den aktuella konfigurations-ISO-filen. Följ anvisningarna för att slutföra verktyget och ladda ner den uppdaterade filen. För att stänga av installationsverktyget skriver du `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny virtuell hybriddatasäkerhetsnod och registrerar den med den nya konfigurations-ISO-filen. Mer detaljerade instruktioner finns i Skapa och registrera fler noder. Installera HDS-värd OVA. Ställ in HDS VM. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	För befintliga HDS-noder som kör den äldre konfigurationsfilen monterar du ISO-filen. Utför följande procedur på varje nod i tur och ordning, uppdatera varje nod innan du stänger av nästa nod: För VMware-distributioner: Stäng av den virtuella HDS-maskinen. Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Om en ISO-fil för närvarande är bifogad, ta bort den innan du fortsätter. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Välj An slut en och Anslut vid påslagning. Spara ändringarna och strömmen på den virtuella maskinen. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Stäng av den virtuella HDS-maskinen och vänta tills dess status ändras till Av stängning. Öppna CD-ROM-enheter. Om en ISO-fil för närvarande är bifogad, lossa den och kontrollera att ingen ISO-fil kvarstår bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är listad. Starta den virtuella HDS-maskinen. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM. På fliken Sammanfattning på VM väljer du Power Operations > Power On. Bekräfta att inga larm inträffar under minst 15 minuter.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som kör den gamla konfigurationen.

Stäng av blockerat externt DNS-upplösningsläge

När du registrerar en nod eller kontrollerar nodens proxykonfiguration testar processen DNS-sökning och anslutning till Cisco Webex molnet. Om nodens DNS-server inte kan lösa offentliga DNS-namn går noden automatiskt till läget Bloc kerad extern DNS-upplösning.

Om dina noder kan lösa offentliga DNS-namn via interna DNS-servrar kan du stänga av det här läget genom att köra proxyanslutningstestet på varje nod igen.

Innan du börjar

Se till att dina interna DNS-servrar kan lösa offentliga DNS-namn och att dina noder kan kommunicera med dem.

1	I en webbläsare öppnar du gränssnittet för hybriddatasäkerhet (IP-adress/inställning, till exempel https://192.0.2.0/setup), anger de administratörsuppgifter som du har ställt in för noden och klickar sedan på Log ga in.
2	Gå till Översikt (standardsidan). När funktionen är aktiverad är Blockerad extern DNS-upplösning inställd på Ja.
3	Gå till sidan Trust Store & Proxy.
4	Klicka på Kontrollera proxyanslutning. Om du ser ett meddelande om att extern DNS-upplösning inte lyckades kunde noden inte nå DNS-servern och kommer att förbli i det här läget. Annars, efter att du har startat om noden och gått tillbaka till sidan Översikt, bör Blockerad extern DNS-upplösning ställas in på nej.

Vad du ska göra härnäst

Upprepa proxyanslutningstestet på varje nod i ditt Hybrid Data Security-kluster.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd hanteringsgränssnittet för hypervisorn i distributionen för att lokalisera och stänga av den virtuella HDS-datorn.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
Klicka på Visa alla på kortet Hybrid Data Security för att visa sidan Hybriddatasäkerhetsresurser.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här no den på panelen som visas till höger
Du kan också avregistrera noden genom att klicka på... till höger om noden och välja Avregistrera nod.

3

Leta upp och ta bort den virtuella HDS-datorn med hjälp av hanteringsgränssnittet för hypervisorn i distributionen.

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert datacenter i vänteläge. I händelse av en katastrof i datacentret kan du manuellt misslyckas med distributionen till standby-datacentret.

Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode. — ***Manuell växling vid fel till standby-datacenter***

Databaserna för de aktiva och väntelagda datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra failover.

De aktiva hybriddatasäkerhetsnoderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret ska spegla produktionsmiljön för virtuella datorer och en PostgreSQL- eller Microsoft SQL Server-databas för säkerhetskopiering. Om produktionen till exempel har 3 virtuella datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 virtuella datorer. (Se Standby Data Center for Disaster Recovery för en översikt över den här failover-modellen.)
Se till att databassynkronisering är aktiverad mellan databasen med aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen i det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att registreras i organisationen och anslutas till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslogs för att verifiera att noderna är i passivt läge. Du bör kunna se meddelandet ”KMS konfigurerad i passivt läge” i syslogs.

Vad du ska göra härnäst

När du har konfigur erat PassiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan Passi veMode-konfigurationen och spara den på en säker plats. Den här kopian av ISO-filen utan PassiveMode konfigurerad kan hjälpa till i en snabb failover-process under katastrofåterställning. Se Disaster Recovery with Standby Data Center för detaljerad failover-procedur.

Disaster Recovery med hjälp av standby-datacenter

Den mest kritiska tjänsten som ditt Hybrid Data Security-kluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som har tilldelats Hybrid Data Security dirigeras nya begäranden om att skapa nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av databasen för hybriddatasäkerhet eller av konfigurationen ISO som används för schemat kommer att resultera i OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig följer du den här proceduren för att manuellt växla fel till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra failover-proceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort `PassiveMode-` konfigurationen för att göra noden aktiv. Noden kan hantera trafik när detta är konfigurerat. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utgången för att kontrollera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i syslogs.

Vad du ska göra härnäst

Om det primära datacentret aktiveras igen efter failover placerar du reservdatacentret i passivt läge igen genom att följa stegen som beskrivs i Konfigurera standby-datacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

HDS-standardkonfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen när alla HDS-noder hämtar den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla dina noder har tagit upp konfigurationsändringarna kan du av montera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

Lossa konfigurations-ISO-filen.

För VMware-distributioner:

Stäng av en HDS-nod.
Välj den virtuella HDS-datorn i VMware vSphere-klienten.
Högerklicka på den virtuella datorn och välj Redigera inställningar.
Välj CD/DVD-enhet 1 och lo ssa den monterade konfigurations-ISO-filen.
Avmarkera An slut en och Anslut vid påslagning och spara sedan ändringarna.
Slå på HDS-noden och kontrollera att inga larm inträffar under minst 20 minuter.
Upprepa dessa steg för återstående HDS-noder, en i taget.

För NFVIS-distributioner:

Navigera till Konfiguration > Virtuell dator > Hantera och välj en virtuell HDS-dator.
Stäng av VM och vänta tills dess tillstånd ändras till Shutdown.
Öppna CD-ROM-enheter.
Välj den bifogade konfigurations-ISO-filen och klicka på Lossa.
Kontrollera att ISO-filen inte längre är kopplad till den virtuella maskinen.
Starta HDS-noden och kontrollera att inga larm inträffar under minst 20 minuter.
Upprepa dessa steg för återstående HDS-noder, en i taget.

För Nutanix-distributioner:

Gå till Infrastruktur > Beräkning > Virtuella datorer och välj en virtuell HDS-maskin.
På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad.
Öppna fliken Diskar på den virtuella datorn.
Välj konfigurations-ISO-posten vars typ är CD-ROM.
Klicka på Mata ut.
Bekräfta att konfigurations-ISO inte längre är monterad.
På fliken Sammanfattning på VM väljer du Power Operations > Power On.
Bekräfta att inga larm inträffar under minst 15 minuter.
Upprepa dessa steg för de återstående HDS-noderna, en i taget.

Felsöka hybriddatasäkerhet

Visa varningar och felsök

En hybriddatasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret arbetar så långsamt att begäranden tar ut tid. Om användarna inte kan nå ditt hybriddatasäkerhetskluster upplever de följande symtom:

Nya utrymmen kan inte skapas (kan inte skapa nya nycklar)
Meddelanden och mellanslagstitlar misslyckas med att dekryptera för:
- Nya användare har lagts till i ett mellanslag (kan inte hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köra framgångsrikt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid Data Security-kluster ordentligt och hanterar alla varningar omedelbart för att undvika störningar i tjänsten.

Varningar

Om det finns ett problem med inställningen av hybriddatasäkerhet visar Partner Hub aviseringar till organisationsadministratören och skickar e-post till den konfigurerade e-postadressen. Varningarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Varning	Åtgärd
Fel vid åtkomst till lokal databas.	Sök efter databasfel eller lokala nätverksproblem.
Fel vid lokal databasanslutning.	Kontrollera att databasservern är tillgänglig och att rätt servicekontoautentiseringsuppgifter användes i nodkonfigurationen.
Åtkomstfel för molntjänster.	Kontrollera att noderna kan komma åt Webex-servrarna enligt vad som anges i Externa anslutningskrav.
Förnya registrering av molntjänster.	Registreringen till molntjänster avbröts. Förnyelse av registreringen pågår.
Registreringen av molntjänster sjönk.	Registrering till molntjänster avslutas. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Konfigurerad domän matchar inte servercertifikatet.	Se till att servercertifikatet matchar den konfigurerade serviceaktiveringsdomänen. Den mest troliga orsaken är att certifikatet CN nyligen ändrades och nu skiljer sig från det CN som användes vid den första installationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om det finns noggrannhet och eventuellt upphörande av inloggningsuppgifter för servicekontot.
Det gick inte att öppna den lokala nyckellagringsfilen.	Kontrollera om det finns integritet och lösenordsnoggrannhet i den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betroddCertificate Authority.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på virtuell värd. Kontrollera att ISO-filen finns, att den är konfigurerad att monteras vid omstart och att den monteras framgångsrikt.
Installationen av klientorganisationen har inte slutförts för de tillagda organisationerna	Slutför installationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS Setup Tool.
Installationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför installationen genom att återkalla CMK:er för klientorganisationer som togs bort med HDS Setup Tool.

Felsöka hybriddatasäkerhet

Använd följande allmänna riktlinjer när du felsöker problem med Hybrid Data Security.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Hän delser.
4	Granska händelsehistoriksidan för eventuella varningar och fixa alla objekt du hittar där. Se bilden nedan för referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till med felsökning.
6	Kontakta Ciscos support.

HDS-API för utvecklare

HDS Developer API: er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns på https://developer.webex.com/messaging/docs/api/v1/hds.

Övriga anteckningar

Kända problem för hybriddatasäkerhet

Om du stänger av alla aktiva kluster för hybriddatasäkerhet (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din konfigurations-ISO-fil eller förlorar åtkomsten till nyckellagringsdatabasen, kan Webex App-användare i kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från din KMS. Vi har för närvarande ingen lösning eller fix för det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller denna anslutning under en tidsperiod (sannolikt en timme).

Distribuera och konfigurera HDS på NFVIS

Följ anvisningarna nedan för att distribuera HDS på en NFVIS-hypervisor. Processen inkluderar installation av HDS OVA, inställning av VM, montering av konfigurations-ISO och verifiering av distributionen.

Installera HDS Host OVA på NFVIS

Innan du börjar

Fyll i förutsättningarna för hybriddatasäkerhet och ladda ner den senaste HDS OVA. Byt namn på filen med formatet hds- .ova för spårning; till exempel hds-26-aug- 2026.ova. <DD-MMM-YYYY>
Skapa HDS-konfigurationen ISO och lagra den säkert. ISO innehåller huvudkrypteringsnyckeln.
Samla nodens statiska IP-adress, subnätmask, gateway, DNS-server, NTP-server och NFVIS-nätverksnamn.
Bekräfta att du har NFVIS-administratörsåtkomst och tillräcklig kapacitet för att allokera minst 4 vCPU:er, 8 GB minne och 30 GB lagringsutrymme per HDS-nod.

1	Logga in på NFVIS-gränssnittet och navigera till Konfiguration > Virtuell maskin > Bilder > Bildarkiv.
2	Välj alternativet LOC AL och ladda upp din namngivna HDS OVA-fil (till exempel hds-26-aug-2026.ova).
3	Ställ in VM-arbetsbelastningstypen till An rop och VM-typen till ECP/VIDEO MESH och välj sedan Ladda upp fil.
4	Övervaka uppladdningsförloppet tills det är klart.
5	Bekräfta att den uppladdade OVA är markerad som aktiv och att NFVIS har skapat den associerade anpassade OVA-profilen.

Konfigurera virtuell hybriddatasäkerhet på NFVIS

1	Navigera till Konfiguration > Distribuera och välj ECP/VIDEO MESH på menyn Välj VM.
2	Ange ett unikt VM-namn, välj den tidigare uppladdade HDS-bilden och välj motsvarande anpassade OVA-profil i avsnittet Deployment Details.
3	Välj DEPLO Y och vänta på meddelandet om framgångsrik distribution.
4	Navigera till Konfiguration > Virtuell dator > Hantera för att kontrollera att den nya HDS-VM är aktiv.
5	Återgå till Konfiguration > Distribuera, välj HDS-VM och använd listrutan N ätverksgränssnitt för att koppla den till önskat WAN-nätverk.
6	Välj DE PLOY för att tillämpa ändringarna i nätverkskonfigurationen.

Ladda upp och montera HDS-konfigurations-ISO

1	Kontrollera att ISO-filen för HDS-konfigurationen laddas upp till avbildningsarkivet via Konfiguration > Virtuell maskin > Bilder > Bildarkiv innan du fortsätter.
2	Öppna terminalen för HDS VM via Konfiguration > Virtuell maskin > Hantera och utför den första inloggningen med standardautentiseringsuppgifterna. `Användarnamn: admin` `Lösenord: ciscosystems`
3	Ändra administratörsuppgifterna när du uppmanas.
4	Konfigurera nodens statiska IP-adress, subnätmask, gateway, DNS och NTP-inställningar med alternativet Redigera konfiguration.
5	Stäng av HDS VM för att underlätta monteringsprocessen.
6	Öppna VM-åtgärdsmenyn, välj CD-ROM och välj HDS-konfigurations-ISO för att ansluta den till den virtuella datorn.
7	Slå på den virtuella datorn och kontrollera att den startar framgångsrikt med konfigurationen ISO monterad.

Vad du ska göra härnäst

Om det behövs, fortsätt med Konfigurera noden för proxyintegration och fortsätt sedan till Registrera den första noden i klustret.

Distribuera och konfigurera HDS på Nutanix

Följ procedurerna nedan för att distribuera HDS på en Nutanix hypervisor. Processen inkluderar installation av HDS OVA, inställning av VM, montering av konfigurations-ISO och verifiering av distributionen.

Installera HDS Host OVA på Nutanix

Använd den här proceduren för att importera HDS OVA-filen till Nutanix.

1	Ladda ner den senaste HDS OVA.
2	I Prism Central går du till Infrastruktur > Beräkning > OVA.
3	Välj Ladda upp OVA.
4	Välj OVA-källan och välj målklustret.
5	Ge den uppladdade OVA ett unikt och igenkännligt namn. Inkludera versionen eller uppladdningsdatumet så att administratörer kan skilja det från äldre OVA-versioner.
6	Slutför uppladdningen.
7	Kontrollera att Diskformat visas som VMD K i OVA-listan.

Skapa virtuell hybriddatasäkerhet på Nutanix

Använd den här proceduren för att skapa den virtuella HDS-datorn.

1	I Prism Central går du till Infrastruktur > Beräkning > OVA.
2	Välj den lyckat uppladdade HDS OVA.
3	Välj Distribuera som VM.
4	Ange ett unikt, igenkännligt VM-namn och välj målklustret.
5	Kontrollera att OVA har fyllt i följande VM-egenskaper: 4 vCPU:er 8 GB minne
6	Klicka på Nästa. Guiden Resur ser öppnas.
7	Kontrollera att den anslutna disken har en storlek på 30 GB i tabellen Resurser > Diskar.
8	Anslut rätt delnät eller VLAN med alternativet Anslut till undernät och ställ in nätverksanslutningstillståndet till Ansluten. Om guiden innehåller en tom eller standardnätverkspost som visar Inget nätverk hittades för VM-nätverk tar du bort den posten. Den ogiltiga posten kan förhindra att guiden fortsätter även efter att rätt undernät har bifogats.
9	Välj UEFI som BIOS-läge och klicka på Nästa. Guiden Hantering öppnas.
10	Lämna Kategorier tomma om inte kategorier krävs av organisationen.
11	Välj lämplig tidszon.
12	Välj Ingen anpassning på kortet för gästanpassning och klicka på Nästa.
13	Granska inställningarna och välj Skapa VM.

Ladda upp och montera HDS-konfigurations-ISO

1	I Prism Central går du till Infrastruktur > Beräkning > VMs.
2	Välj den distribuerade HDS-VM. Välj Str öm försörjning > Slå på på fliken Sammanfattning. Vänta några minuter tills VM startar.
3	Klicka på Starta konsol. Utför den första inloggningen med standarduppgifter. `Användarnamn: admin` `Lösenord: ciscosystems`
4	Ändra administratörsuppgifterna när du uppmanas.
5	Konfigurera nodens statiska IP-adress, subnätmask, gateway, DNS och NTP-inställningar med alternativet Redigera konfiguration.
6	Stäng av HDS VM innan du ansluter ISO. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning väljer du Str ömförsörjning > Stäng av och väntar tills den virtuella datorn är helt stoppad.
7	Öppna fliken Skivor på VM.
8	Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort.
9	Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA
10	Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
11	På fliken Sammanfattning på VM väljer du Power Operations > Power On och kontrollerar att det inte finns några larm under minst 15 minuter.

Vad du ska göra härnäst

Om det behövs, fortsätt med Konfigurera noden för proxyintegration och fortsätt sedan till Registrera den första noden i klustret.

Migrera HDS-noder mellan hypervisorer som stöds

Använd den här proceduren för att flytta HDS-noder från en hypervisor som stöds till en annan. Befintliga virtuella HDS-maskiner migreras inte direkt mellan hypervisorer. Distribuera istället ersättningsnoder på målhypervisorn och registrera dem i det befintliga eller nya HDS-klustret.

Innan du börjar

Säkerhetskopiera HDS-databasen och den aktuella konfigurationen ISO.
Bekräfta att målhypervisorn och de virtuella värdarna uppfyller HDS-distributionskraven.
Kontrollera att det befintliga HDS-klustret är hälsosamt och att de återstående noderna kan fortsätta hantera trafik medan du ersätter en nod.
Bestäm om varje ersättningsnod ska återanvända källnodens IP-adress och FQDN eller använda nya nätverksinställningar.
Använd den aktuella konfigurations-ISO och den befintliga HDS-databasen för ersättningsnoderna.

Om flytten också ändrar den aktiva konfigurationen för datacenter, databasserver eller HDS-konfiguration läser du Ändra nodkonfiguration och standbydatacenter för katastrofåterställning innan du fortsätter.

1	Välj en HDS-nod på källhypervisorn som ska ersättas. Lämna alla andra noder igång och registrerade.
2	Förbered nätverkskonfigurationen för ersättningsnoden: Om du återanvänder källnodens IP-adress och FQDN stänger du av den virtuella källkoden och avregistrerar noden innan du sätter ersättningsnoden online. Om du använder en ny IP-adress eller FQDN ska du låta källnoden vara igång och registrerad medan du distribuerar och validerar ersättningsnoden. Kör inte källa- och ersättningsnoderna samtidigt om de använder samma nätverkskonfiguration.
3	Skapa och konfigurera ersättande VM på målhypervisorn. Använd den senaste HDS OVA och följ tillämpliga distributionsprocedurer för den hypervisorn.
4	Konfigurera den ersättande virtuella datorns nätverksinställningar enligt den konfiguration som valts i steg 2. Följ installationsanvisningarna för målhypervisorn.
5	Anslut den aktuella HDS-konfigurationen ISO. Om distributionen använder en proxy konfigurerar du proxyn och förtroendelagret enligt beskrivningen i Konfigurera HDS-noden för proxyintegration.
6	Registrera ersättningsnoden med det befintliga klustret eller ett nytt kluster. Mer information finns i Skapa och registrera fler noder.
7	Bekräfta att ersättningsnoden är frisk, ansluten till Webex-molnet och hanterar HDS-trafik. Lös eventuella larm innan du fortsätter.
8	Om källnoden fortfarande körs eftersom ersättningen använder en ny nätverkskonfiguration stänger du av och avregistrerar källnoden. Se Ta bort en nod.
9	Upprepa dessa steg för varje kvarvarande nod på källhypervisorn. Byt inte ut en annan nod förrän klustret är friskt.
10	När alla ersättningsnoder är stabila och återställning inte längre krävs tar du bort de ursprungliga virtuella datorerna från källhypervisorn. Om du behåller en original virtuell dator tillfälligt, håll den avstängd och avmontera dess konfigurations-ISO.

Vad du ska göra härnäst

När du har registrerat ersättningsnoderna, bekräfta att de är friska och att HDS-distributionen hanterar trafik. Om distributionen är korrekt tar du bort alla källnoder som fortfarande är registrerade på den ursprungliga hypervisorn. Om tillämpligt följer du stegen ovan för att ersätta noder i konfigurationen för katastrofåterställning.

Kör HDS-installationsverktyget med Podman Desktop

Podman är ett gratis containerhanteringsverktyg med öppen källkod som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt den, ladda ner och kör Podman på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Vad du ska göra härnäst

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfiguration.

Inaktivera molnagenter

Cloud Agents (c-agent) är betrodda Webex-tjänstkonton som utför åtgärder på HDS via delegerad åtkomst på uppdrag av en användare för att förbättra den övergripande användarupplevelsen. Inaktivering av Cloud Agents blockerar Webex-tjänster från att komma åt lokala HDS-nycklar.

Inaktivering av molnagenter kommer att resultera i förlust av funktioner som inspelningar efter mötet, transkriptioner, förhandsgranskningar av filer och automatiserad skanning mot skadlig programvara i Webex App Spaces.

Följ stegen nedan för att inaktivera molnagenter för din HDS-distribution.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen i det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar.
3	Lägg till konfigurationen nedan på sidan Avancerade inställningar för att inaktivera molnagenter. Detta kommer att säkerställa att molnagenter inte får hantera HDS-trafik. `cloudAgentUpdateEnabled: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i HDS-distributionen. Kontrollera att Cloud Agents är inaktiverade genom att kontrollera syslogs för följande post: 'Cloud Agent-uppdatering inaktiverad'.

Flytta den befintliga HDS-distributionen med en enda innehavare för en partnerorganisation i Control Hub till en HDS-inställning för flera hyresgäster i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klient av en partnerorganisation som hanteras i Control Hub till en HDS-distribution för flera hyresgäster som hanteras i Partner Hub innebär i första hand att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen ”enskild hyresgäst” hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. Klicka på Hybrid i den vänstra rutan. Klicka på Redigera inställningar på kortet Hybrid Data Security.
2	På inställningssidan bläddrar du ner till avsnittet Inaktivera och klickar på In aktivera.
3	Efter inaktivering klickar du på fliken Resurser.
4	Sidan Resur ser listar kluster i HDS-distributionen. Klicka på ett kluster, en sida öppnas med alla noder under det klustret.
5	Klick till höger och klicka på Av registrera noden. Upprepa processen för alla noder i klustret.
6	Om distributionen har flera kluster upprepar du steg 4 och steg 5 tills alla noder avregistreras.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i HDS-distributionen. Efter HDS-inaktivering, avregistrering av noder och borttagning av kluster visas längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förutsättningar som nämns i K rav för hybriddatasäkerhet med flera hyres gäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partner Hub. Klicka på Tjän ster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya konfigurationen för flera hyresgäster.
2	I avsnittet Hybrid hittar du Hybrid Data Security-kort och klickar på Ställ in.
3	Klicka på Lägg till en resurs på sidan som öppnas.
4	I det första fältet i Skapa ett kluster kort anger du ett namn för det kluster som du vill tilldela noden för hybriddatasäkerhet till. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: ”San Francisco” eller ”New York” eller ”Dallas”
5	I det andra fältet anger du den interna IP-adressen eller fullt kvalificerat domännamn (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Den här IP-adressen eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera virtuell hybriddatasäkerhet. Ett meddelande visas som indikerar att du kan registrera din nod till Webex.
6	Klicka på Gå till nod. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge behörigheter till din Webex-organisation att komma åt din nod.
7	Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. På sidan Hybriddatasä kerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resur ser. Noden hämtar automatiskt den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. Aktiverat HDS- meddelande visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till i rullgardinsmenyn.
12	Klicka på Lägg till, kunden läggs till i klustret.
13	Upprepa steg 11 till 13 om du vill lägga till flera kunder i klustret.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Vad du ska göra härnäst

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att skapa en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att göra PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi stöder inte eller marknadsför ett sätt framför ett annat.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som en riktlinje för att hjälpa dig att skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din Certificate Authority (CA).

1	När du får servercertifikatet från certifikatutfärdaren sparar du det som `hdsno` de.pem.
2	Visa certifikatet som text och kontrollera detaljerna. `openssl x509 -text -noout -i hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil som heter `hdsno` de-bundle.pem. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande certifikatutfärdarcertifikat och rotcertifikatutfärdarcertifikat i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Skapa filen.p12 med det vänliga namnet kms-private-key.` `openssl pkcs12 -exportera -inkey hdsnode.key -in-hdsnode-bundle.pem -namn kms-private-key -caname kms-privatnyckel-out hdsnode.p12`
5	Kontrollera servercertifikatinformationen. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord vid uppmaningen för att kryptera den privata nyckeln så att den visas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-` private-key. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Vad du ska göra härnäst

Återgå till att slutföra förutsättningarna för hybriddatasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Trafik för insamling av utgående mätvärden

Noderna för hybriddatasäkerhet skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmätvärden för hög max, hög som används, CPU-belastning och trådantal; mätvärden för synkrona och asynkrona trådar; mätvärden för varningar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärankölängd; mätvärden på datalagret; och mätvärden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Noderna för hybriddatasäkerhet tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar till nodprogramvaran

Konfigurera Squid-proxyer för hybriddatasäkerhet

Websocket kan inte ansluta via Squid Proxy

Squid-proxyer som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur du konfigurerar olika versioner av Squid för att ignorera wss: trafik för korrekt drift av tjänsterna.

Bläckfisk 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Bläckfisk 3.5.27

Vi testade framgångsrikt Hybrid Data Security med följande regler tillagda i squid .conf. Dessa regler kan komma att ändras när vi utvecklar funktioner och uppdaterar Webex-molnet.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Inaktivera hybriddatasäkerhet för flera hyresgäster

Aktivitetsflöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera Multi-Tenant HDS.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort klientorganisationer.
2	Återkalla CMK:erna för alla kunder, som nämns i Åter kalla CMK:er för hyresgäster som tagits bort från HDS. .
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med någon av följande två metoder. Klicka på klustret du vill ta bort och välj Ta bort detta kluster längst upp till höger på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och välj Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan Hybrid Data Security och klicka på In aktivera HDS på HDS-statuskortet.

Vanliga frågor

Q. Lagras CMK:erna och huvudnyckeln i ISO eller databasen?

A. Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO.

F. Används en nyckel för att kryptera alla data från kundorganisationer?

A. Nej. Varje kundorganisations data krypteras med sin egen CMK (Customer Main Key).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

A. Vissa operationer, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar byter användare som hanteras av partnern till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och en-till-en-utrymmen.

F. När CMK har genererats för en kundorgan via HDS-installationsverktyget, börjar användare av kundorganisationen omedelbart utnyttja Multi-Tenant HDS?

S: Det kan finnas en maximal fördröjning på 24 timmar för molncachen att uppdatera.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen ”Lägg till kunder” i Partner Hub?

A. Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webexlicenskraven.

Fråga: Vad är effekten om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

A. Verksamheter som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Krypteras partnerorganisationens användardata med huvudnyckeln som genererades under skapandet av ISO?

Svar: Ja. För närvarande krypteras partnerorganisationens användardata med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna vara i olika regioner (säg USA och EU)?

Svar: Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och endast använda Multi-Tenant HDS för att hantera kunder?

Svar: Nej, detta stöds inte för närvarande. Stöd för denna funktionalitet planeras för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

A. Logga in på Partner Hub. Gå till Tjänster > Hybrid datasäkerhet > Inställningar. Om HDS-status är aktiverad använder både användare av partnerorganisationen och tilldelade kunder HDS för flera hyresgäster.

Alternativt kan du kontrollera dina syslogs för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

Svar: Ja. Pod man Desktop är ett alternativ med öppen källkod till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

A. Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera Multi-Tenant HDS?

A. Se K rav på extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

A. Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvarig för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS för flera hyresgäster?

Svar: Nej, för närvarande stöder Multi-Tenant HDS inte HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

A. Nej. Multi-Tenant HDS kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som nämns i X.509- certifikatkrav.

F. Behövs montering av ISO varje gång en ny kund läggs till i Partner Hub?

A. Nej. ISO behöver bara monteras vid modifiering av ISO-konfigurationer. När du lägger till en ny kund på Partner Hub, se till att du kan skapa CMK:er med HDS Setup Tool. Mer information finns i Skapa kundhuvudnycklar (CMK) med HDS-inställningsverktyget.

Fråga: När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen utnyttja lokal KMS för nyckelhantering?

A. Användare börjar använda lokal KMS för nyckelhantering först efter att HDS har aktiverats i Partner Hub.

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Deployment Guide for Multi-Tenant Hybrid Data Security.

Datum	Ändringar som gjorts
01 oktober 2026	Lade till Migrera HDS-noder mellan stödda hypervisors avsnitt.
21 september 2026	Lade till stöd för Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hypervisor i Virtual Host Requirements. Lagt till stöd för Nutanix hypervisor i Virtual Host Requirements. Lagt till Distribuera och konfigurera HDS på NFVIS avsnitt. Lagt till Distribuera och konfigurera HDS på Nutanix-avsnittet. Uppdaterade procedurer i hela guiden för att inkludera instruktioner för NFVIS- och Nutanix-distributioner. Flyttat avsnittet Standby Data Center for Disaster Recovery under Hantera HDS-driftsättningen.
31 augusti 2026	Tog bort kravet på aktivering av funktionen för flera hyresgäster från avsnittet Cisco WebexLicen skrav.
28 augusti 2026	Lade till en kritisk varning i Förväntningar för distribution av hybriddatas äkerhet om att migrering från Multi-Tenant Hybrid Data Security till Webex cloud KMS inte stöds och avveckling av HDS kommer att resultera i förlust av åtkomst till befintliga krypterade data.
30 juli 2026	Uppdaterade avsnittet X.509-certifikatkrav för att ange att endast RSA-certifikat stöds.
02 juli 2026	Lade till avsnittet Inaktivera Cloud Agents.
23 juni 2026	Lade till avsnittet Tolkning av HDS-loggar och förståelse av agentetiketter.
01 juni 2026	Lade till HDS Developer API:er sektion. Lade till en anteckning till Kör HDS Setup-verktyget med Podman Desktop avsnitt.
16 april 2026	Uppdaterade databasserverkrav för att lägga till stöd för PostgreSQL versionerna 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella hybriddatasäkerhetsnoden.
05 december 2025	Uppdaterad Skapa en konfigurations-ISO för HDS-värdar med rätt användargränssnittstext på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat när du konfigurerar TLS-kryptering.
21 november 2025	L ade till avsnittet Vanliga frågor. Lagt till Ställ in standby-datacenter för katastrofåterställning och katastrofåterställning med hjälp av Standby Data Center sektioner. Borttagen (Beta) från titeln på distributionsguiden.
08 maj 2025	Lagt till Flytta den befintliga HDS-distributionen för en partnerorganisation i Control Hub till en HDS-inställning för flera hyresgäster i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Test Your Hybrid Data Security Deployment. Uppdaterade krav för virtuell värd, aktivitetsflöde för hybriddatasäker hetsdistribution och installera HDS-värddatorn OVA för att lägga till ESXi 8.0-stöd.
04 mars 2025	Lade till Kör HDS Setup-verktyg med Podman Desktop sektion. Lade till en anteckning i Docker Desktop Requirements som ger kunderna ett alternativt alternativ med öppen källkod. Uppdat erad Skapa en konfigurations-ISO för HDS-värdarna och ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
Januari 30, 2025	Lade till SQL-serverversion 2022 i listan över SQL-servrar som stöds i databasserverkrav.
Januari 15, 2025	Tillagda begränsningar av Multi-Tenant Hybrid Datasäkerhet.
08 januari 2025	Lade till en anteckning i Utför första installationen och ladda ner installationsfiler som anger att klicka på Ställ in på HDS-kortet i Partner Hub är ett viktigt steg i installationsprocessen.
07 januari 2025	Uppdaterade krav för virtuell värd, aktivitetsflöde för hybriddatasä kerhetsdistribution och installera HDS-värddatorn OVA för att visa nya krav på ESXi 7.0.
13 december 2024	Först publicerad.

Kom igång med Multi-Tenant Hybrid Datasäkerhet

Översikt över datasäkerhet för hybriddata för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är end-to-end-innehållskryptering, aktiverad av Webex App-klienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera de kryptografiska nycklar som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex App-kunder end-to-end-kryptering med dynamiska nycklar lagrade i molnet KMS, i Ciscos säkerhetsområde. Hybrid Data Security flyttar KMS och andra säkerhets relaterade funktioner till ditt företags datacenter, så ingen utom du har nycklarna till ditt krypterade innehåll.

Multi-Tenant Hybrid Data Security gör det möjligt för organisationer att utnyttja HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna inställning gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är säkra från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över driftsättning och hantering, men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Multi-Tenant Hybrid Data Security ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, som molntjänsteleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om det tillhandahålls av partnern.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybriddatasäkerhetssystem för flera hyresgäster.

Begränsningar av hybriddatasäkerhet för flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Innehavs- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare av kundorganisationer såväl som användare av partnerorganisationen utnyttja Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna de hanterar kommer att ha samma HDS-distribution för flera hyresgäster.

Partnerorganisationen kommer inte längre att använda molnbaserad KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller i hybriddatasäkerhet för flera hyresgäster

Partner full administratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan också tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör - Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administr atör - Administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

End-to-end HDS-installation och hantering av flera hyresgäster för alla kundorganisationer - Fullständiga administratörsrättigheter för partner och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsfältarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata områden, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå Hybrid Data Security, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda platsen där användare kan korreleras direkt med sin personliga information som e-postadress, är logiskt och fysiskt åtskild från säkerhetsområdet i datacenter B. Båda är i sin tur separata från det område där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett mellanslag utförs följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) förblir i Ciscos sfärer.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex App för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningarna till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din multitenant-hybriddatasäkerhetsdistribution.

Förväntningar på implementering av hybriddatasäkerhet

En hybriddatasäkerhetsdistribution kräver betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

Om du vill distribuera hybriddatasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teamsplan erna.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO som du bygger för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera rymdinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men bara nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationen ISO.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Migrering från Multi-Tenant Hybrid Data Security (HDS) till Webex cloud KMS stöds inte. Avveckling av HDS kommer att resultera i förlust av åtkomst till innehåll och data som tidigare krypterats med dessa nycklar. Du måste behålla HDS för att bevara åtkomst till befintligt krypterat innehåll.

Inställningsprocess på hög nivå

Det här dokumentet omfattar installation och hantering av en driftsättning av hybriddatasäkerhet för flera hyresgäster:

Konfigurera hybriddatasäkerhet — Detta inkluderar att förbereda nödvändig infrastruktur och installera programvara för hybriddatasäkerhet, bygga ett HDS-kluster, lägga till klientorganisationer i klustret och hantera deras CMK:er (Customer Main Keys). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid Data Security-kluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution — Webex-molnet tillhandahåller automatiskt löpande uppgraderingar. Din IT-avdelning kan tillhandahålla nivå ett-support för den här distributionen och anlita Cisco-support efter behov. Du kan använda aviseringar på skärmen och ställa in e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem — Om du stöter på problem med att distribuera eller använda hybriddatasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att avgöra och åtgärda problemet.

Distributionsmodell för hybriddatasäkerhet

I företagets datacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra webbuttag och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella apparaten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder den tillhandahållna Syslogd-servern och PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerar Syslogd- och databasanslutningsinformation i HDS-installationsverktyget.)

Distributionsmodell för hybriddatasäkerhet

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster får åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar på round-robin-sätt, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. Om du vill ta bort en enskild nod kan du avregistrera den och senare registrera den om det behövs.

Proxy-stöd

Hybrid datasäkerhet stöder uttryckliga, transparenta inspekterings- och icke-inspekterande proxyer. Du kan knyta dessa proxyer till din distribution så att du kan säkra och övervaka trafiken från företaget ut till molnet. Du kan använda ett plattformsadministratörsgränssnitt på noderna för certifikathantering och för att kontrollera den övergripande anslutningsstatusen när du har ställt in proxyn på noderna.

Noderna för hybriddatasäkerhet stöder följande proxyalternativ:

Ingen proxy — Standard om du inte använder HDS-nodkonfigurationen Trust Store & Proxy för att integrera en proxy. Ingen certifikatuppdatering krävs.
Transparent proxy utan inspektion — Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy som inte inspekterar. Ingen certifikatuppdatering krävs.
Genomskinlig tunnling eller inspektionsproxy — Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP- eller HTTPS-konfigurationsändringar är nödvändiga på noderna. Noderna behöver dock ett rotcertifikat så att de litar på proxyn. Inspektiva proxyer används vanligtvis av IT för att upprätthålla policyer för vilka webbplatser som kan besökas och vilka typer av innehåll som inte är tillåtna. Denna typ av proxy dekrypterar all din trafik (även HTTPS).
Explicit proxy — Med explicit proxy berättar du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. Om du vill konfigurera en explicit proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN —Adress som kan användas för att nå proxydatorn.
2. Proxyport — Ett portnummer som proxyn använder för att lyssna efter proxy-trafik.
3. Proxyprotokoll — Beroende på vad din proxyserver stöder väljer du mellan följande protokoll:
  - HTTP — visar och kontrollerar alla förfrågningar som klienten skickar.
  - https — tillhandahåller en kanal till servern. Klienten tar emot och validerar serverns certifikat.
4. Autentiseringstyp — Välj bland följande autentiseringstyper:
  - Ingen — Ingen ytterligare autentisering krävs.
    
    Tillgänglig om du väljer antingen HTTP eller HTTPS som proxyprotokoll.
  - Grundläggande — Används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder Base64-kodning.
    
    Tillgänglig om du väljer antingen HTTP eller HTTPS som proxyprotokoll.
    
    Kräver att du anger användarnamn och lösenord för varje nod.
  - Sammanfattning —Används för att bekräfta kontot innan du skickar känslig information. Tillämpar en hashfunktion på användarnamnet och lösenordet innan du skickar över nätverket.
    
    Endast tillgängligt om du väljer HTTPS som proxyprotokoll.
    
    Kräver att du anger användarnamn och lösenord för varje nod.

Exempel på hybriddatasäkerhetsnoder och proxy

Detta diagram visar ett exempel på anslutning mellan Hybrid Data Security, nätverk och en proxy. För proxyalternativen transparent inspektion och HTTPS-explicit inspektion måste samma rotcertifikat installeras på proxyservern och på noderna för hybriddatasäkerhet.

Blockerat externt DNS-upplösningsläge (explicita proxykonfigurationer)

När du registrerar en nod eller kontrollerar nodens proxykonfiguration testar processen DNS-sökning och anslutning till Cisco Webex molnet. I distributioner med uttryckliga proxykonfigurationer som inte tillåter extern DNS-upplösning för interna klienter, om noden inte kan fråga DNS-servrarna, går den automatiskt till läget Blockerad extern DNS-upplösning. I det här läget kan nodregistrering och andra proxyanslutningstester fortsätta.

Förbered din miljö

Krav för hybriddatasäkerhet för flera hyresgäster

Cisco WebexLicenskrav

Så här distribuerar du hybriddatasäkerhet för flera hyresgäster:

Hyresgästorganisationer: Du måste ha Pro Pack förCisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker Desktop

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker uppdaterade nyligen sin licensmodell. Din organisation kan kräva en betald prenumeration för Docker Desktop. Mer information finns i Docker-blogginlägget, "Docker uppdaterar och utökar våra produkt prenumerationer ”.

Kunder utan Docker Desktop-licens kan använda ett containerhanteringsverktyg med öppen källkod som Podman Desktop för att köra, hantera och skapa containrar. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

X.509 Certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för distribution av hybriddatasäkerhet
Krav	Detaljer
Signerad av en betrod Certificate Authority d (CA)	Som standard litar vi på CA: erna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Bär ett CN-domännamn (Common Name) som identifierar din hybriddatasäkerhetsdistribution Är inte ett jokerteckencertifikat	CN behöver inte vara nåbar eller vara en levande värd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com.` CN får inte innehålla ett * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex App-klienter. Alla noder för hybriddatasäkerhet i klustret använder samma certifikat. Din KMS identifierar sig själv med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte att ändra CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för validering av anslutningar till andra organisationers KMS.
Formaterad som en lösenordsskyddad PKCS #12 -fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en omvandlare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS Setup Tool.
Algoritm som stöds	Endast RSA-certifikat stöds.

KMS-programvaran tillämpar inte nyckelanvändningsbegränsningar eller utökade nyckelanvändningsbegränsningar. Vissa certifikatmyndigheter kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav på virtuell värd

De virtuella värdarna som du konfigurerar som hybriddatasäkerhetsnoder i klustret har följande krav:

Minst två separata värdar (3 rekommenderas) placerade i samma säkra datacenter
Hypervisorer som stöds:
- VMware ESXi 7.0 eller 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) version 26.2.1.
- Nutanix AOS 7.5.x med Nutanix AHV 11.0.x.
Minst 4 vCPU: er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server.

Databasserverkrav

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. När HDS-programmen installeras skapar databasschemat.

Det finns två alternativ för databasserver. Kraven för var och en är följande:

Tabell 2. Databasserverkrav efter typ av databas
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och körs.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU: er, 16 GB huvudminne, tillräckligt hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU: er, 16 GB huvudminne, tillräckligt hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On (alltid på klusterinstanser vid fel och tillgäng lighetsgrupper Always On).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckellagringsdatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot som du tillhandahåller HDS-noder måste ha läs-/skrivåtkomst till databasen.
De DNS-servrar som du tillhandahåller till HDS-noder måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) på din. Active Directory Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startaren och den lokala KMS behöver alla använda Windows-autentisering för att komma åt nyckellagringsdatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när du begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Ansökan	Protokoll	Hamn	Riktning från App	Bestämmelseort
Hybriddatasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra webbadresser som listas för hybriddatasäkerhet i tabellen Ytterligare webbadresser för Webex Hybrid Services i N ätverkskrav för We bex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Noderna för hybriddatasäkerhet fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter nödvändiga utgående anslutningar till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. I ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Regionen	Vanliga identitetsvärd-webbadresser
Amerikaner	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxyserverkrav

Vi stöder officiellt följande proxylösningar som kan integreras med dina Hybrid Data Security-noder.
- Transparent proxy — Cisco Web Security Appliance (WSA).
- Explicit proxy - bläckfisk.
  
  Squid-proxyer som inspekterar HTTPS-trafik kan störa upprättandet av websocket (wss:) -anslutningar. Information om hur du kringgår problemet finns i Konfigurera Squid-proxyer för hybriddatasäkerhet.
Vi stöder följande kombinationer av autentiseringstyper för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Sammanfattningsautentisering endast med HTTPS
För en transparent inspekterande proxy eller en HTTPS-explicit proxy måste du ha en kopia av proxyns rotcertifikat. Installationsinstruktionerna i den här guiden berättar hur du laddar upp kopian till Hybrid Data Security-nodernas förtroendelager.
Nätverket som är värd för HDS-noderna måste konfigureras för att tvinga utgående TCP-trafik på port 443 att dirigera genom proxyservern.
Proxyer som inspekterar webbtrafik kan störa webbsocketanslutningar. Om detta problem uppstår löser du problemet genom att kringgå (inte inspektera) trafik till wbx2.com och ciscospark.com.

Fyll i förutsättningarna för hybriddatasäkerhet

Använd den här checklistan för att se till att du är redo att installera och konfigurera ditt hybriddatasäkerhetskluster.

1	Se till att organisationen inte har HDS aktiverat i Control Hub och få autentiseringsuppgifterna för ett konto med partnerns fullständiga administratörsrättigheter och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack förCisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarig för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för HDS-distributionen (till exempel `hds.company.com`) och få en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509 Certifikatkrav.
3	Förbered identiska virtuella värdar som du ställer in som hybriddatasäkerhetsnoder i klustret. Du behöver minst två separata värdar (3 rekommenderas) placerade i samma säkra datacenter, som uppfyller kraven i Virtual Host Requirements.
4	Förbered databasservern som ska fungera som nyckeldatalager för klustret, enligt databasserverkraven. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen — använd inte standarddatabasen. När HDS-programmen installeras skapar databasschemat.) Samla informationen som noderna ska använda för att kommunicera med databasservern: värdnamn eller IP-adress (värd) och port namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla behörigheter i nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 virtuella datorer.
6	Ställ in en syslog-värd för att samla in loggar från noderna i klustret. Samla dess nätverksadress och syslog-port (standard är UDP 514).
7	Skapa en säker säkerhetskopieringsprincip för noderna Hybrid Data Security, databasservern och syslog-värden. För att förhindra oåterkallelig dataförlust måste du åtminstone säkerhetskopiera databasen och konfigurations-ISO-filen som genereras för noderna Hybrid Data Security. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används för kryptering och dekryptering av innehåll kommer under låtenhet att upprätthålla en operativ distribution att leda till att innehållet inte kan återställas. Webex App-klienter cachelagrar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, kan de återvinnas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen kommer dock att resultera i att kunddata inte kan återställas. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla frekventa säkerhetskopior av databasen och konfigurations-ISO-filen, och vara beredda att bygga om Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina hybrida datasäkerhetsnoder enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker (https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt den på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-installationsverktyget, som bygger den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Mer information finns i Docker-skrivbordskrav. För att installera och köra HDS-installationsverktyget måste den lokala datorn ha den anslutning som beskrivs i K rav på extern anslutning.
10	Om du integrerar en proxy med hybriddatasäkerhet kontrollerar du att den uppfyller proxyserverkraven.

Konfigurera ett hybriddatasäkerhetskluster

Aktivitetsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första inställningen och ladda ner installationsfiler Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS Setup Tool för att skapa en ISO-konfigurationsfil för noderna Hybrid Data Security.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den första konfigurationen, till exempel nätverksinställningar. Konfigurering av nätverksinställningar under OVA-distribution stöds endast i ESXi 7.0 och 8.0. För NFVIS-distributioner, se Installera HDS-värddatorn OVA på NF VIS. För Nutanix-distributioner, se Installera HDS Host OVA på Nutanix
4	Konfigurera virtuell hybriddatasäkerhet Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA- distributionen. För NFVIS-distributioner, se Konfigurera virtuell hybriddatasäkerhet på NFVIS. För Nutanix-distributioner, se Skapa virtuell hybriddatasäkerhet på Nutanix
5	Ladda upp och montera HDS-konfigurations-ISO Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS Setup Tool. För NFVIS-distributioner, se Ladda upp och montera HDS-konfigurations-ISO. För Nutanix-distributioner, se Ladda upp och montera HDS-konfigurations-ISO
6	Konfigurera HDS-noden för proxyintegration Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som ska användas för noden och lägger till proxycertifikatet i förtroendelagret om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinställningen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera klientorganisationer på Partner Hub.

Utför den första inställningen och ladda ner installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar du har ställt in som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	Leta reda på kortet för hybriddatasäkerhet i avsnittet Hybrid och klicka sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Hämta OVA-fil på kortet Installera och konfigurera programvara. Äldre versioner av programvarupaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av programmet. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från hjälpav snittet. Klicka på Inställningar > Hjälp > Hämta programvara för hybriddatasäkerhet. OVA-filen börjar automatiskt ladda ner. Spara filen på en plats på datorn.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5 nedan. Denna tabell ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxy utan autentisering

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-proxy med autentisering

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy med autentisering

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

1

Ange lämpligt kommando för din miljö på maskinens kommandorad:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.

2

Om du vill logga in på Docker-avbildningsregistret anger du följande:

docker login -u hdscustomersro

3

Ange denna hash vid lösenordsprompten:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Ladda ner den senaste stabila bilden för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När dragningen är klar anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs visas ”Expressserver lyssnar på port 8080.”

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörens användarnamn för Partner Hub vid uppmaningen.

Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.

7

När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

Klicka på Kom igång på översiktssidan Installationsverktyg.

9

På sidan ISO-import har du följande alternativ:

Nej — Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja — Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringen och laddar upp den.

10

Kontrollera att X.509-certifikatet uppfyller kraven i X.509-certifik atkrav.

Om du aldrig har laddat upp ett certifikat tidigare laddar du upp X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om certifikatet har löpt ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO? . Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att komma åt ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server visas fältet Autentiseringstyp.
(Endast Microsoft SQL Server) Välj autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn @DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formuläret: <hostname><port>eller: <IP-address><port>.

Exempel:
dbhost.example. org:1433 eller 198.51.100. 17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet db host.example.org:1433
Ange databasnamnet.
Ange användarnamn och lösenord för en användare med alla behörigheter i nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Läge	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte TLS för att ansluta till databasservern. Om du aktiverar TLS på databasservern försöker noderna en krypterad anslutning.
Kräv TLS	HDS-noder ansluts endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikatsignerare	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluts endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden signeraren av certifikatet från databasservern med certifikatutfärdaren i databasrot certifikatet. Om de inte matchar tappar noden anslutningen. Använd kontrollen Databasrotcertifikat under rullgardinsmenyn för att ladda upp rotcertifikatet för det här alternativet.
Kräv TLS och verifiera certifikatsignerare och värdnamn	HDS-noder ansluts endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden signeraren av certifikatet från databasservern med certifikatutfärdaren i databasrot certifikatet. Om de inte matchar tappar noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, annars tappar noden anslutningen. Använd kontrollen Databasrotcertifikat under rullgardinsmenyn för att ladda upp rotcertifikatet för det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar också certifikatsigneraren och värdnamnet, om tillämpligt. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om HDS-inställningsverktygsmaskinen inte kan testa den.)

13

Konfigurera Syslogd-servern på sidan Systemloggar:

Ange syslog-serverns URL.

Om servern inte är DNS-lösbar från noderna för ditt HDS-kluster använder du en IP-adress i webbadressen.

Exempel:
udp: //10.92.43. 23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du ställer in servern för att använda TLS-kryptering markerar du Är servern konfigurerad för TLS-förhandling/hand skakning? .

Om du markerar den här kryssrutan måste du ange en TCP-URL, t.ex. tcp: //10.92.43. 23:514, och ladda upp syslog-rotcertifikatet.
Välj lämplig inställning för ISO-filen i listrutan Välj avslutande av syslog-post: Välj eller Newline används för Graylog och Rsyslog TCP
- Nollbyte --\ x00
- Newline --\n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. I allmänhet är den här parametern den enda som du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekon ton.

Lösenord för servicekonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgången eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget skriver du CTRL+C.

Vad du ska göra härnäst

Säkerhetskopiera konfigurations-ISO-filen. Du behöver det för att skapa fler noder för återställning, eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också tappat huvudnyckeln. Det är inte möjligt att återställa nycklarna från PostgreSQL- eller Microsoft SQL Server-databasen.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du tappar den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Installera HDS-värddatorn OVA på NF VIS.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Installera HDS Host OVA på Nut anix.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värddatorn.
2	Välj Ar kiv > Distribuera OVF-mall.
3	Ange platsen för OVA-filen som du hämtade tidigare i guiden och klicka sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_node_1"), väljer en plats där distributionen av den virtuella datorns nod kan finnas och klicka sedan på Nästa.
5	Välj målberäkningsresursen på sidan Välj en beräkningsresurs och klicka sedan på Nästa. En valideringskontroll körs. När det är klart visas malldetaljerna.
6	Kontrollera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och klickar sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och principen för VM-lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan med poster för att ge önskad anslutning till den virtuella datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall: Värdnamn — Ange FQDN (värdnamn och domän) eller ett enda ordvärdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering till molnet använder du bara gemener i det FQDN eller värdnamn som du anger för noden. Kapitalisering stöds inte just nu. Den totala längden på FQDN får inte överstiga 64 tecken. IP-adress — Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask — Ange subnätmaskadressen i punktdecimalnotation. Till exempel 255.255.255.0. Gateway — Ange gateway-IP-adressen. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar — Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till 4 DNS-poster är tillåtna.) NTP-servrar —Ange organisationens NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard NTP-servrar kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN, så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om så önskas kan du hoppa över nätverksinställningskonfigurationen och följa stegen i Konfigurera virtuell hybriddatasäker het för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på noden VM och välj sedan Str öm > Slå på. Programvaran Hybrid Data Security installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna kommer upp. Ett bridge-brandväggsmeddelande visas på konsolen under den första starten, under vilken du inte kan logga in.

Konfigurera virtuell hybriddatasäkerhet

Använd den här proceduren för att logga in på VM-konsolen för hybriddatasäkerhetsnoden för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Konfigurera virtuell hybriddatasäkerhet på NF VIS.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Skapa virtuell hybriddatasäkerhet på Nut anix.

1	I VMware vSphere-klienten väljer du din virtuella dator med hybriddatasäkerhetsnod och väljer fliken Kon sol. VM startar upp och en inloggningsprompt visas. Om inloggningsprompten inte visas trycker du på Ret ur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Logga in: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Ställ in en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server (er) om det behövs för att matcha din nätverksprincip. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO

Använd den här proceduren för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-installationsverktyget.

Om du distribuerar HDS på en NFVIS-hypervisor läser du avsnittet Ladda upp och montera HDS-konfigurationens ISO.

Om du distribuerar HDS på en Nutanix-hypervisor, se avsnittet Ladda upp och montera HDS-konfigurationen ISO.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras på ”behov av att veta” -basis, för åtkomst av virtuella hybriddatasäkerhetsmän och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från din dator:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringsfönster.
Klicka på Lag ring i listan Maskinvara på fliken Konfiguration.
Högerklicka på datalagret för dina virtuella datorer i listan Datastores och klicka på Bläddra i Datastore.
Klicka på ikonen Ladda upp filer och klicka sedan på Ladda upp fil.
Bläddra till platsen där du hämtade ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera varningen för överföring/nedladdning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

Högerklicka på den virtuella datorn i VMware vSphere-klientens vänstra navigerings fönster och klicka på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en datalagrings ISO-fil och bläddra till den plats där du laddade upp konfigurations-ISO-filen.
Kontrollera An slut en och Anslut vid påslagning.
Spara dina ändringar och starta om den virtuella maskinen.

Vad du ska göra härnäst

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen när alla dina noder har tagit upp konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxyintegration

Om nätverksmiljön kräver en proxy använder du den här proceduren för att ange vilken typ av proxy som du vill integrera med Hybrid Data Security. Om du väljer en transparent inspektionsproxy eller en HTTPS-explicit proxy kan du använda nodens gränssnitt för att ladda upp och installera rotcertifikatet. Du kan också kontrollera proxyanslutningen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxy Support för en översikt över de proxyalternativ som stöds.
Proxyserverkrav

1	Ange webbadressen för HDS-nodens `inställning https://[HDS Nod IP eller FQDN] /setup` i en webbläsare, ange de administratörsuppgifter som du har ställt in för noden och klicka sedan på Logga in.
2	Gå till Trust Store & Proxy och välj sedan ett alternativ: Ingen proxy — standardalternativet innan du integrerar en proxy. Ingen certifikatuppdatering krävs. Transparent icke-inspekterande proxy — Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy som inte inspekterar. Ingen certifikatuppdatering krävs. Transparent inspektionsproxy — Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTPS-konfigurationsändringar krävs för Hybrid Data Security-distributionen, men HDS-noderna behöver ett rotcertifikat så att de litar på proxyn. Inspektiva proxyer används vanligtvis av IT för att upprätthålla policyer för vilka webbplatser som kan besökas och vilka typer av innehåll som inte är tillåtna. Denna typ av proxy dekrypterar all din trafik (även HTTPS). Explicit proxy — Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN —Adress som kan användas för att nå proxydatorn. Proxyport — Ett portnummer som proxyn använder för att lyssna efter proxy-trafik. Proxyprotokoll — Välj http (visar och kontrollerar alla begäranden som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver stöder. Autentiseringstyp — Välj bland följande autentiseringstyper: Ingen — Ingen ytterligare autentisering krävs. Tillgänglig för HTTP- eller HTTPS-proxyer. Grundläggande — Används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder Base64-kodning. Tillgänglig för HTTP- eller HTTPS-proxyer. Om du väljer det här alternativet måste du också ange användarnamn och lösenord. Sammanfattning —Används för att bekräfta kontot innan du skickar känslig information. Tillämpar en hashfunktion på användarnamnet och lösenordet innan du skickar över nätverket. Endast tillgängligt för HTTPS-proxyer. Om du väljer det här alternativet måste du också ange användarnamn och lösenord. Följ nästa steg för en transparent inspektionsproxy, en uttrycklig HTTP-proxy med grundläggande autentisering eller en HTTPS-explicit proxy.
3	Klicka på Ladda upp ett rotcertifikat eller slutentitet scertifikat och navigera sedan till ett välj rotcertifikat för proxyn. Certifikatet har laddats upp men ännu inte installerat eftersom du måste starta om noden för att installera certifikatet. Klicka på pilen vid certifikatutfärdarens namn för att få mer information eller klicka på Ta bort om du gjorde ett misstag och vill ladda upp filen igen.
4	Klicka på Kontrollera proxyanslutning för att testa nätverksanslutningen mellan noden och proxyn. Om anslutningstestet misslyckas visas ett felmeddelande som visar orsaken och hur du kan åtgärda problemet. Om du ser ett meddelande om att extern DNS-upplösning inte lyckades kunde noden inte nå DNS-servern. Detta villkor förväntas i många explicita proxykonfigurationer. Du kan fortsätta med installationen, och noden kommer att fungera i läget Blockerad extern DNS-upplösning. Om du tror att det här är ett fel, utför du de här stegen och läser sedan In aktivera blockerat externt DNS-upplösningsläge.
5	När anslutningstestet har passerat, för explicit proxy inställd på endast https, slå på växeln för att dirigera alla port 443/444 https-förfrågningar från den här noden via den explic ita proxyn. Den här inställningen tar 15 sekunder för att träda i kraft.
6	Klicka på Installera alla certifikat i Trust Store (visas för en HTTPS-explicit proxy eller en genomskinlig inspektionsproxy) eller Starta om (visas för en explicit HTTP-proxy), läs prompten och klicka sedan på Installera om du är redo. Noden startar om inom några minuter.
7	När noden har startat om loggar du in igen om det behövs och öppnar sedan sidan Översikt för att kontrollera anslutningskontrollerna för att se till att alla har grön status. Proxyanslutningskontrollen testar endast en underdomän till webex.com. Om det finns anslutningsproblem är ett vanligt problem att vissa av molndomänerna som anges i installationsinstruktionerna blockeras vid proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera virtuell hybriddatas äkerhet, registrerar noden med Webex-molnet och förvandlar den till en hybrid datasäkerhetsnod.

När du registrerar den första noden skapar du ett kluster som noden är tilldelad till. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du börjar registrera en nod måste du slutföra den inom 60 minuter eller så måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security-kort och klickar på Ställ in.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet i Skapa ett nytt kluster kort anger du ett namn för det kluster som du vill tilldela noden för hybriddatasäkerhet till. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: ”San Francisco” eller ”New York” eller ”Dallas”
6	I det andra fältet anger du den interna IP-adressen eller fullt kvalificerat domännamn (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Den här IP-adressen eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera virtuell hybriddatasäkerhet. Ett meddelande visas som indikerar att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge behörigheter till din Webex-organisation att komma åt din nod.
8	Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybriddatasä kerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resur ser. Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella datorer och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du börjar registrera en nod måste du slutföra den inom 60 minuter eller så måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA genom att upprepa stegen i Installera HDS-värddatorn OVA.
2	Ställ in den ursprungliga konfigurationen på den nya virtuella datorn genom att upprepa stegen i Konfigurera virtuell hybriddatasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISO på den nya virtuella datorn.
4	Om du konfigurerar en proxy för distributionen upprepar du stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjän ster från menyn till vänster på skärmen. I avsnittet Hybrid hittar du Hybrid Data Security-kortet och klickar på Visa alla. Sidan Hybriddatasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resur ser. Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange den interna IP-adressen eller fullständigt kvalificerat domännamn (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Pop@@ up-meddelande som läggs till nod visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Vad du ska göra härnäst

Om du vill skapa ytterligare kluster loggar du in på Partner Hub och klickar på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i ytterligare kluster eller kluster.

Hantera klientorganisationer med hybriddatasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare av kundorganisationer kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt Multi-Tenant HDS-kluster med önskat antal noder.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på HDS-statuskortet.

Lägga till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybrida datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. F liken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till i rullgardinsmenyn.
7	Klicka på Lägg till, kunden läggs till i klustret.
8	Upprepa steg 5 till 7 om du vill lägga till flera kunder i klustret.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras över alla tillgängliga kluster.

Vad du ska göra härnäst

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till klientorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

1	Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.
2	Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro`
3	Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.”
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörens användarnamn för Partner Hub vid uppmaningen. Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.
7	När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	Klicka på Kom igång på översiktssidan Installationsverktyg.
9	Klicka på Ja på sidan ISO-import.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till databasen för att utföra CMK-hantering.
11	Gå till fliken Ten ant CMK Management, där du hittar följande tre sätt att hantera Tenant CMK: er. Skapa CMK för alla ORGs eller Skapa CMK - Klicka på den här knappen på bannern högst upp på skärmen för att skapa CMK för alla nyligen tillagda organisationer. Klicka på Hantera CMK :er knappen till höger på skärmen och klicka på Skapa CMK:er för att skapa C MK:er för alla nyligen tillagda organisationer. Klick nära CMK-hanteringsväntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När skapandet av CMK har lyckats ändras statusen i tabellen från CMK-hantering väntande till CM K- hanterad.
13	Om skapandet av CMK misslyckas visas ett fel.

Ta bort hyresgästorganisationer

Innan du börjar

När de har tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, kontakta din Cisco-partner eller kontoansvarig.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Visa alla.
4	Klicka på fliken Till delade kunder på sidan som öppnas.
5	Klicka på i listan över kundorganisationer som visas till höger om den kundorganisation du vill ta bort och klicka på Ta bort från kluster.

Vad du ska göra härnäst

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Åter kalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort klientorganisationer. Kör installationsverktyget för HDS för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

1	Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera.
2	Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro`
3	Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.”
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörens användarnamn för Partner Hub vid uppmaningen. Verktyget använder den första posten i användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsprompten.
7	När du uppmanas anger du inloggningsuppgifter för administratörsuppgifterna för Partner Hub och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	Klicka på Kom igång på översiktssidan Installationsverktyg.
9	Klicka på Ja på sidan ISO-import.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Ten ant CMK Management, där du hittar följande tre sätt att hantera Tenant CMK: er. Återkalla CMK för alla ORG:er eller Åter kalla CMK - Klicka på den här knappen på bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som togs bort. Klicka på knappen Hantera C MK:er till höger på skärmen och klicka på Åter kalla CMK:er för att återkalla C MK:er för alla organisationer som tagits bort. Klick nära CMK som ska återkallas status för en viss organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelse misslyckas visas ett fel.

Testa distributionen av hybriddatasäkerhet

Testa din hybriddatasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier för hybriddatasäkerhet för flera hyresgäster.

Innan du börjar

Konfigurera distributionen av hybriddatasäkerhet för flera hyresgäster.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar överförs till din multitenant-hybriddatasäkerhetsdistribution.

1

Nycklar för ett visst utrymme ställs in av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar hybriddatasäkerhetsdistributionen är innehållet i utrymmen som användarna skapar inte längre tillgängligt när de klientcachade kopior av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna överförs till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen utnyttjar HDS för flera hyresgäster. Kontrollera värdet på kms.data.orgID i syslogs.

För att söka efter en användare som först skapar en säker kanal till KMS, filtrera på kms.data.method=create och kms.dat a.type=ephemeral_key_collection:

Du bör hitta en post som följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär en befintlig nyckel från KMS, filtrera på kms.data.method=och kms.dat a.type=key:

Du bör hitta en post som:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär skapandet av en ny KMS-nyckel, filtrera på kms.data.method=create och kms.dat a.type=key_collection:

Du bör hitta en post som:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att söka efter en användare som begär skapandet av ett nytt KMS Resource Object (KRO) när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms. data.type=Resource_Collection:

Du bör hitta en post som:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tolka HDS-loggar och förstå agentetiketter

HDS-loggar ger detaljerad information om KMS-förfrågningar. Dessa loggar innehåller olika fält som hjälper till att identifiera typen av begäran och den tillhörande identiteten. Att förstå dessa områden är avgörande för korrekt tolkning av aktiviteter och betrodda interna operationer.

Terminologi

För att säkerställa tydlighet när du granskar HDS-loggar är det viktigt att förstå följande termer:

Termin	Definition
Servicekonto	En tjänstidentitet som gör det möjligt för Webex-tjänster att utföra auktoriserade åtgärder på ett säkert sätt.
Ombud	En tjänsteenhet eller ett tjänstekonto som används för att utföra automatiserade operationer inom HDS-miljön.
Agentetikett	En tagg som ingår i HDS-loggar som identifierar den specifika källan och typen för en inkommande begäran, vilket möjliggör effektiv åtkomstkontrollgranskning.
Delegerad åtkomst	Ett auktoriserat servicekonto som gör en begäran för en specifik användare, inom användarens behörigheter. Visas som en delegeringsbegäran: `agent -> userid`.

Termen ”Agent” avser i detta sammanhang specifikt HDS-tjänsteidentiteter. Dessa är inte relaterade till AI-drivna agenter som används i andra Webex-funktioner.

En begäran delges endast om den härrör från:

en autentiserad användare i organisationen, eller
ett servicekonto som finns i, och är auktoriserat av, din organisation.

Översikt över loggfält

Fält	Vad det representerar
Tidsstämpel	Datum och tid för operationen.
kms.data.metod	Den utförda KMS-operationen (t.ex. hämta).
kms.data.orgld	Organisationsidentifierare.
KMS.Data.HttpUserAgent	Kunden eller tjänsten som gör begäran.
WEBEX_TRACKINGID	Unik spårningsidentifierare för begäran.
kms.data.uriHost/kms.data.uri	Värd och resurs som förfrågan riktar sig till.
kms.data.userld	Identiteten som utför begäran, inklusive en agentetikett.
kms.response.framgång	Anger om begäran lyckades.

Begärningstyper - Snabbreferens

Tagg i logg	Agentetikett	Vad det representerar	Typiska operationer
Användartyp: UserAgent	Användaragent	Ett betrodd tjänstkonto kopplat till ett användararbetsflöde, som omfattas av din organisation.	Skapa/hantera nycklar för en användarprocess.
o-agent <id>-> användar-id <id>	Organisationsagent	Ett betrodd tjänstekonto på organsnivå med delegerad åtkomst.	Compliance Officer's extrahering av Webex-data, kalenderintegrationer.
c-agent <id>-> användar-id <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran för en viss användare.	Virusskanning, förhandsgranskning av innehåll, transkript.
c-agent <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran.	ECDHE/sessionstangenter.
Slutanvändarens UUID	-	Den autentiserade slutanvändaren som interagerar med HDS.	En användare hämtar sin egen nyckel.

Begärningstyper - I detalj

Agentetiketter kategoriserar källan till begäran och hjälper till att bestämma lämpliga åtkomstkontroller. Följande exempel visar flera begäranstyper och de agentetiketter som är associerade med dem.

Användaragent (UserAgent):

Dessa är betrodda Webex-tjänstkonton som är associerade med specifika användararbetsflöden och omfattas av kundorganisationen. De används vanligtvis när en tjänst skapar och hanterar nycklar på uppdrag av ett användararbetsflöde.

Provlogg:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en användaragent (UserAgent) som utför resursinsamlingsåtgärder för en Webex-tjänst.
Organisationsagent (o-agent):

Dessa betrodda Webex-tjänstkonton har behörighet att utföra delegerade åtgärder på uppdrag av användare inom HDS. Dessa konton är anpassade till kundorganisationen och utför operationer på organisationsnivå. Den här funktionen stöder flera funktioner, till exempel att göra det möjligt för efterlevnadsansvariga att söka och extrahera Webex-kommunikationsdata - vilket säkerställer organisatorisk anpassning till regler, säkerhet och datasekretessstandarder.

Provlogg:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en orgagent (o-agent 9 [~] c) som hämtar en nyckel för användarens räkning (4 [~] b) för en Webex-tjänst.
Molnagent (c-agent):
Dessa betrodda Webex-tjänstkonton har behörighet att utföra åtgärder på HDS via delegerad åtkomst för en användares räkning. De stöder viktiga funktioner - till exempel inspelningar efter mötet, transkript, skanning mot skadlig programvara och förhandsgranskningar av filer som förbättrar den övergripande användarupplevelsen.

Även om Cloud Agents kan inaktiveras genom att ändra ISO, bör kunderna vara medvetna om att detta kommer att resultera i förlust av funktioner, till exempel inspelningar efter mötet, transkript, förhandsgranskningar av filer och automatiserad skanning av skadlig programvara i Webex App Spaces. Mer information finns i avsnittet In aktivera molnagenter.

Provlogg:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Nyckelindikator: Exempelloggen visar en molnagent (c-agent b [~] c) som hämtar en innehållsnyckel för användarens räkning (9 [~] c).

Slutanvändarens direkta interaktion:

En autentiserad användare som interagerar med HDS direkt.

Provlogg:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Nyckelindikator: Provloggen visar en slutanvändare (c [~] f) som hämtar en nyckel och interagerar direkt med HDS.

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är bra med implementeringen av Multi-Tenant Hybrid Data Security. För mer proaktiv varning, registrera dig för e-postmeddelanden. Du får ett meddelande när det finns servicepåverkande larm eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjän ster från menyn till vänster på skärmen.
2	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	Skriv en eller flera e-postadresser åtskilda med kommatecken i avsnittet E-postmeddelanden och tryck på Retur.

Hantera din HDS-driftsättning

Hantera HDS-driftsättning

Använd de uppgifter som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in klusteruppgraderingsschema

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 03:00 Daily United States: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Konfigurera
4	Välj klustret på sidan Hybriddatasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar.
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. No tera: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan skjuta upp uppgraderingen till nästa dag, om det behövs, genom att klicka på Upp skjuta med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen för din Hybrid Data Security-nod av en anledning som:

Ändra x.509-certifikat på grund av utgångsdatum eller andra skäl.

Vi stöder inte att ändra CN-domännamnet för ett certifikat. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdatera databasinställningar för att ändra till en kopia av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill byta databasmiljö startar du en ny distribution av Hybrid Data Security.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder Hybrid Data Security också lösenord för tjänstkonton som har en livslängd på nio månader. När HDS- installationsverktyget har genererat dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigur ationsfilen. När organisationens lösenord närmar sig utgången får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten ”Använd maskinkontots API för att uppdatera lösenordet.”) Om dina lösenord inte har löpt ut ännu ger verktyget dig två alternativ:

Mjuk återställning — Både gamla och nya lösenord fungerar i upp till 10 dagar. Använd den här perioden för att ersätta ISO-filen på noderna gradvis.
Hård åter ställning - De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord löper ut utan återställning påverkar det din HDS-tjänst, vilket kräver en omedelbar hård återställning och ersättning av ISO-filen på alla noder.

Använd den här proceduren för att skapa en ny konfigurations-ISO-fil och tillämpa den på ditt kluster.

Innan du börjar

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt det, kör Docker på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med partnerns fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Mer information finns i Kör HDS-installationsverktyget med Podman Desktop.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du pro xyinställningarna (server, port, referenser) via Docker-miljö variabler när du tar upp Docker-behållaren i 1.e. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella konfigurations-ISO-filen för att skapa en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO när du gör konfigurationsändringar, inklusive databasautentiseringsuppgifter, certifikatuppdateringar eller ändringar av auktoriseringsprincip.

1	Använd Docker på en lokal dator och kör HDS Setup Tool. Ange lämpligt kommando för din miljö på maskinens kommandorad: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar upp tidigare HDS-installationsverktygsbilder. Om det inte finns några tidigare bilder returnerar det ett fel som du kan ignorera. Om du vill logga in på Docker-avbildningsregistret anger du följande: `docker login -u hdscustomersro` Ange denna hash vid lösenordsprompten: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Ladda ner den senaste stabila bilden för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du drar det senaste installationsverktyget för den här proceduren. Versioner av verktyget som skapats före 22 februari 2018 har inte skärmarna för återställning av lösenord. När dragningen är klar anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en httpsProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs visas ”Expressserver lyssnar på port 8080.” Använd en webbläsare för att ansluta till localhost, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas anger du dina inloggningsuppgifter för Partner Hub och klickar sedan på Accep tera för att fortsätta. Importera den aktuella konfigurations-ISO-filen. Följ anvisningarna för att slutföra verktyget och ladda ner den uppdaterade filen. För att stänga av installationsverktyget skriver du `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny virtuell hybriddatasäkerhetsnod och registrerar den med den nya konfigurations-ISO-filen. Mer detaljerade instruktioner finns i Skapa och registrera fler noder. Installera HDS-värd OVA. Ställ in HDS VM. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	För befintliga HDS-noder som kör den äldre konfigurationsfilen monterar du ISO-filen. Utför följande procedur på varje nod i tur och ordning, uppdatera varje nod innan du stänger av nästa nod: För VMware-distributioner: Stäng av den virtuella HDS-maskinen. Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Om en ISO-fil för närvarande är bifogad, ta bort den innan du fortsätter. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Välj An slut en och Anslut vid påslagning. Spara ändringarna och strömmen på den virtuella maskinen. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Stäng av den virtuella HDS-maskinen och vänta tills dess status ändras till Av stängning. Öppna CD-ROM-enheter. Om en ISO-fil för närvarande är bifogad, lossa den och kontrollera att ingen ISO-fil kvarstår bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är listad. Starta den virtuella HDS-maskinen. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM. På fliken Sammanfattning på VM väljer du Power Operations > Power On. Bekräfta att inga larm inträffar under minst 15 minuter.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som kör den gamla konfigurationen.

Stäng av blockerat externt DNS-upplösningsläge

När du registrerar en nod eller kontrollerar nodens proxykonfiguration testar processen DNS-sökning och anslutning till Cisco Webex molnet. Om nodens DNS-server inte kan lösa offentliga DNS-namn går noden automatiskt till läget Bloc kerad extern DNS-upplösning.

Om dina noder kan lösa offentliga DNS-namn via interna DNS-servrar kan du stänga av det här läget genom att köra proxyanslutningstestet på varje nod igen.

Innan du börjar

Se till att dina interna DNS-servrar kan lösa offentliga DNS-namn och att dina noder kan kommunicera med dem.

1	I en webbläsare öppnar du gränssnittet för hybriddatasäkerhet (IP-adress/inställning, till exempel https://192.0.2.0/setup), anger de administratörsuppgifter som du har ställt in för noden och klickar sedan på Log ga in.
2	Gå till Översikt (standardsidan). När funktionen är aktiverad är Blockerad extern DNS-upplösning inställd på Ja.
3	Gå till sidan Trust Store & Proxy.
4	Klicka på Kontrollera proxyanslutning. Om du ser ett meddelande om att extern DNS-upplösning inte lyckades kunde noden inte nå DNS-servern och kommer att förbli i det här läget. Annars, efter att du har startat om noden och gått tillbaka till sidan Översikt, bör Blockerad extern DNS-upplösning ställas in på nej.

Vad du ska göra härnäst

Upprepa proxyanslutningstestet på varje nod i ditt Hybrid Data Security-kluster.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd hanteringsgränssnittet för hypervisorn i distributionen för att lokalisera och stänga av den virtuella HDS-datorn.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
Klicka på Visa alla på kortet Hybrid Data Security för att visa sidan Hybriddatasäkerhetsresurser.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här no den på panelen som visas till höger
Du kan också avregistrera noden genom att klicka på... till höger om noden och välja Avregistrera nod.

3

Leta upp och ta bort den virtuella HDS-datorn med hjälp av hanteringsgränssnittet för hypervisorn i distributionen.

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert datacenter i vänteläge. I händelse av en katastrof i datacentret kan du manuellt misslyckas med distributionen till standby-datacentret.

Databaserna för de aktiva och väntelagda datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra failover.

De aktiva hybriddatasäkerhetsnoderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret ska spegla produktionsmiljön för virtuella datorer och en PostgreSQL- eller Microsoft SQL Server-databas för säkerhetskopiering. Om produktionen till exempel har 3 virtuella datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 virtuella datorer. (Se Standby Data Center for Disaster Recovery för en översikt över den här failover-modellen.)
Se till att databassynkronisering är aktiverad mellan databasen med aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen i det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att registreras i organisationen och anslutas till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslogs för att verifiera att noderna är i passivt läge. Du bör kunna se meddelandet ”KMS konfigurerad i passivt läge” i syslogs.

Vad du ska göra härnäst

När du har konfigur erat PassiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan Passi veMode-konfigurationen och spara den på en säker plats. Den här kopian av ISO-filen utan PassiveMode konfigurerad kan hjälpa till i en snabb failover-process under katastrofåterställning. Se Disaster Recovery with Standby Data Center för detaljerad failover-procedur.

Disaster Recovery med hjälp av standby-datacenter

Den mest kritiska tjänsten som ditt Hybrid Data Security-kluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som har tilldelats Hybrid Data Security dirigeras nya begäranden om att skapa nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av databasen för hybriddatasäkerhet eller av konfigurationen ISO som används för schemat kommer att resultera i OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig följer du den här proceduren för att manuellt växla fel till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra failover-proceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort `PassiveMode-` konfigurationen för att göra noden aktiv. Noden kan hantera trafik när detta är konfigurerat. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utgången för att kontrollera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i syslogs.

Vad du ska göra härnäst

Om det primära datacentret aktiveras igen efter failover placerar du reservdatacentret i passivt läge igen genom att följa stegen som beskrivs i Konfigurera standby-datacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

HDS-standardkonfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen när alla HDS-noder hämtar den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla dina noder har tagit upp konfigurationsändringarna kan du av montera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

Lossa konfigurations-ISO-filen.

För VMware-distributioner:

Stäng av en HDS-nod.
Välj den virtuella HDS-datorn i VMware vSphere-klienten.
Högerklicka på den virtuella datorn och välj Redigera inställningar.
Välj CD/DVD-enhet 1 och lo ssa den monterade konfigurations-ISO-filen.
Avmarkera An slut en och Anslut vid påslagning och spara sedan ändringarna.
Slå på HDS-noden och kontrollera att inga larm inträffar under minst 20 minuter.
Upprepa dessa steg för återstående HDS-noder, en i taget.

För NFVIS-distributioner:

Navigera till Konfiguration > Virtuell dator > Hantera och välj en virtuell HDS-dator.
Stäng av VM och vänta tills dess tillstånd ändras till Shutdown.
Öppna CD-ROM-enheter.
Välj den bifogade konfigurations-ISO-filen och klicka på Lossa.
Kontrollera att ISO-filen inte längre är kopplad till den virtuella maskinen.
Starta HDS-noden och kontrollera att inga larm inträffar under minst 20 minuter.
Upprepa dessa steg för återstående HDS-noder, en i taget.

För Nutanix-distributioner:

Gå till Infrastruktur > Beräkning > Virtuella datorer och välj en virtuell HDS-maskin.
På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad.
Öppna fliken Diskar på den virtuella datorn.
Välj konfigurations-ISO-posten vars typ är CD-ROM.
Klicka på Mata ut.
Bekräfta att konfigurations-ISO inte längre är monterad.
På fliken Sammanfattning på VM väljer du Power Operations > Power On.
Bekräfta att inga larm inträffar under minst 15 minuter.
Upprepa dessa steg för de återstående HDS-noderna, en i taget.

Felsöka hybriddatasäkerhet

Visa varningar och felsök

En hybriddatasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret arbetar så långsamt att begäranden tar ut tid. Om användarna inte kan nå ditt hybriddatasäkerhetskluster upplever de följande symtom:

Nya utrymmen kan inte skapas (kan inte skapa nya nycklar)
Meddelanden och mellanslagstitlar misslyckas med att dekryptera för:
- Nya användare har lagts till i ett mellanslag (kan inte hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köra framgångsrikt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid Data Security-kluster ordentligt och hanterar alla varningar omedelbart för att undvika störningar i tjänsten.

Varningar

Om det finns ett problem med inställningen av hybriddatasäkerhet visar Partner Hub aviseringar till organisationsadministratören och skickar e-post till den konfigurerade e-postadressen. Varningarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Varning	Åtgärd
Fel vid åtkomst till lokal databas.	Sök efter databasfel eller lokala nätverksproblem.
Fel vid lokal databasanslutning.	Kontrollera att databasservern är tillgänglig och att rätt servicekontoautentiseringsuppgifter användes i nodkonfigurationen.
Åtkomstfel för molntjänster.	Kontrollera att noderna kan komma åt Webex-servrarna enligt vad som anges i Externa anslutningskrav.
Förnya registrering av molntjänster.	Registreringen till molntjänster avbröts. Förnyelse av registreringen pågår.
Registreringen av molntjänster sjönk.	Registrering till molntjänster avslutas. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Konfigurerad domän matchar inte servercertifikatet.	Se till att servercertifikatet matchar den konfigurerade serviceaktiveringsdomänen. Den mest troliga orsaken är att certifikatet CN nyligen ändrades och nu skiljer sig från det CN som användes vid den första installationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om det finns noggrannhet och eventuellt upphörande av inloggningsuppgifter för servicekontot.
Det gick inte att öppna den lokala nyckellagringsfilen.	Kontrollera om det finns integritet och lösenordsnoggrannhet i den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betroddCertificate Authority.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på virtuell värd. Kontrollera att ISO-filen finns, att den är konfigurerad att monteras vid omstart och att den monteras framgångsrikt.
Installationen av klientorganisationen har inte slutförts för de tillagda organisationerna	Slutför installationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS Setup Tool.
Installationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför installationen genom att återkalla CMK:er för klientorganisationer som togs bort med HDS Setup Tool.

Felsöka hybriddatasäkerhet

Använd följande allmänna riktlinjer när du felsöker problem med Hybrid Data Security.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid hittar du Hybrid Data Security och klickar på Hän delser.
4	Granska händelsehistoriksidan för eventuella varningar och fixa alla objekt du hittar där. Se bilden nedan för referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till med felsökning.
6	Kontakta Ciscos support.

HDS-API för utvecklare

HDS Developer API: er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns på https://developer.webex.com/messaging/docs/api/v1/hds.

Övriga anteckningar

Kända problem för hybriddatasäkerhet

Om du stänger av alla aktiva kluster för hybriddatasäkerhet (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din konfigurations-ISO-fil eller förlorar åtkomsten till nyckellagringsdatabasen, kan Webex App-användare i kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från din KMS. Vi har för närvarande ingen lösning eller fix för det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller denna anslutning under en tidsperiod (sannolikt en timme).

Distribuera och konfigurera HDS på NFVIS

Följ anvisningarna nedan för att distribuera HDS på en NFVIS-hypervisor. Processen inkluderar installation av HDS OVA, inställning av VM, montering av konfigurations-ISO och verifiering av distributionen.

Installera HDS Host OVA på NFVIS

Innan du börjar

Fyll i förutsättningarna för hybriddatasäkerhet och ladda ner den senaste HDS OVA. Byt namn på filen med formatet hds- .ova för spårning; till exempel hds-26-aug- 2026.ova. <DD-MMM-YYYY>
Skapa HDS-konfigurationen ISO och lagra den säkert. ISO innehåller huvudkrypteringsnyckeln.
Samla nodens statiska IP-adress, subnätmask, gateway, DNS-server, NTP-server och NFVIS-nätverksnamn.
Bekräfta att du har NFVIS-administratörsåtkomst och tillräcklig kapacitet för att allokera minst 4 vCPU:er, 8 GB minne och 30 GB lagringsutrymme per HDS-nod.

1	Logga in på NFVIS-gränssnittet och navigera till Konfiguration > Virtuell maskin > Bilder > Bildarkiv.
2	Välj alternativet LOC AL och ladda upp din namngivna HDS OVA-fil (till exempel hds-26-aug-2026.ova).
3	Ställ in VM-arbetsbelastningstypen till An rop och VM-typen till ECP/VIDEO MESH och välj sedan Ladda upp fil.
4	Övervaka uppladdningsförloppet tills det är klart.
5	Bekräfta att den uppladdade OVA är markerad som aktiv och att NFVIS har skapat den associerade anpassade OVA-profilen.

Konfigurera virtuell hybriddatasäkerhet på NFVIS

1	Navigera till Konfiguration > Distribuera och välj ECP/VIDEO MESH på menyn Välj VM.
2	Ange ett unikt VM-namn, välj den tidigare uppladdade HDS-bilden och välj motsvarande anpassade OVA-profil i avsnittet Deployment Details.
3	Välj DEPLO Y och vänta på meddelandet om framgångsrik distribution.
4	Navigera till Konfiguration > Virtuell dator > Hantera för att kontrollera att den nya HDS-VM är aktiv.
5	Återgå till Konfiguration > Distribuera, välj HDS-VM och använd listrutan N ätverksgränssnitt för att koppla den till önskat WAN-nätverk.
6	Välj DE PLOY för att tillämpa ändringarna i nätverkskonfigurationen.

Ladda upp och montera HDS-konfigurations-ISO

1	Kontrollera att ISO-filen för HDS-konfigurationen laddas upp till avbildningsarkivet via Konfiguration > Virtuell maskin > Bilder > Bildarkiv innan du fortsätter.
2	Öppna terminalen för HDS VM via Konfiguration > Virtuell maskin > Hantera och utför den första inloggningen med standardautentiseringsuppgifterna. `Användarnamn: admin` `Lösenord: ciscosystems`
3	Ändra administratörsuppgifterna när du uppmanas.
4	Konfigurera nodens statiska IP-adress, subnätmask, gateway, DNS och NTP-inställningar med alternativet Redigera konfiguration.
5	Stäng av HDS VM för att underlätta monteringsprocessen.
6	Öppna VM-åtgärdsmenyn, välj CD-ROM och välj HDS-konfigurations-ISO för att ansluta den till den virtuella datorn.
7	Slå på den virtuella datorn och kontrollera att den startar framgångsrikt med konfigurationen ISO monterad.

Vad du ska göra härnäst

Om det behövs, fortsätt med Konfigurera noden för proxyintegration och fortsätt sedan till Registrera den första noden i klustret.

Distribuera och konfigurera HDS på Nutanix

Följ procedurerna nedan för att distribuera HDS på en Nutanix hypervisor. Processen inkluderar installation av HDS OVA, inställning av VM, montering av konfigurations-ISO och verifiering av distributionen.

Installera HDS Host OVA på Nutanix

Använd den här proceduren för att importera HDS OVA-filen till Nutanix.

1	Ladda ner den senaste HDS OVA.
2	I Prism Central går du till Infrastruktur > Beräkning > OVA.
3	Välj Ladda upp OVA.
4	Välj OVA-källan och välj målklustret.
5	Ge den uppladdade OVA ett unikt och igenkännligt namn. Inkludera versionen eller uppladdningsdatumet så att administratörer kan skilja det från äldre OVA-versioner.
6	Slutför uppladdningen.
7	Kontrollera att Diskformat visas som VMD K i OVA-listan.

Skapa virtuell hybriddatasäkerhet på Nutanix

Använd den här proceduren för att skapa den virtuella HDS-datorn.

1	I Prism Central går du till Infrastruktur > Beräkning > OVA.
2	Välj den lyckat uppladdade HDS OVA.
3	Välj Distribuera som VM.
4	Ange ett unikt, igenkännligt VM-namn och välj målklustret.
5	Kontrollera att OVA har fyllt i följande VM-egenskaper: 4 vCPU:er 8 GB minne
6	Klicka på Nästa. Guiden Resur ser öppnas.
7	Kontrollera att den anslutna disken har en storlek på 30 GB i tabellen Resurser > Diskar.
8	Anslut rätt delnät eller VLAN med alternativet Anslut till undernät och ställ in nätverksanslutningstillståndet till Ansluten. Om guiden innehåller en tom eller standardnätverkspost som visar Inget nätverk hittades för VM-nätverk tar du bort den posten. Den ogiltiga posten kan förhindra att guiden fortsätter även efter att rätt undernät har bifogats.
9	Välj UEFI som BIOS-läge och klicka på Nästa. Guiden Hantering öppnas.
10	Lämna Kategorier tomma om inte kategorier krävs av organisationen.
11	Välj lämplig tidszon.
12	Välj Ingen anpassning på kortet för gästanpassning och klicka på Nästa.
13	Granska inställningarna och välj Skapa VM.

Ladda upp och montera HDS-konfigurations-ISO

1	I Prism Central går du till Infrastruktur > Beräkning > VMs.
2	Välj den distribuerade HDS-VM. Välj Str öm försörjning > Slå på på fliken Sammanfattning. Vänta några minuter tills VM startar.
3	Klicka på Starta konsol. Utför den första inloggningen med standarduppgifter. `Användarnamn: admin` `Lösenord: ciscosystems`
4	Ändra administratörsuppgifterna när du uppmanas.
5	Konfigurera nodens statiska IP-adress, subnätmask, gateway, DNS och NTP-inställningar med alternativet Redigera konfiguration.
6	Stäng av HDS VM innan du ansluter ISO. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning väljer du Str ömförsörjning > Stäng av och väntar tills den virtuella datorn är helt stoppad.
7	Öppna fliken Skivor på VM.
8	Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort.
9	Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA
10	Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
11	På fliken Sammanfattning på VM väljer du Power Operations > Power On och kontrollerar att det inte finns några larm under minst 15 minuter.

Vad du ska göra härnäst

Om det behövs, fortsätt med Konfigurera noden för proxyintegration och fortsätt sedan till Registrera den första noden i klustret.

Migrera HDS-noder mellan hypervisorer som stöds

Använd den här proceduren för att flytta HDS-noder från en hypervisor som stöds till en annan. Befintliga virtuella HDS-maskiner migreras inte direkt mellan hypervisorer. Distribuera istället ersättningsnoder på målhypervisorn och registrera dem i det befintliga eller nya HDS-klustret.

Innan du börjar

Säkerhetskopiera HDS-databasen och den aktuella konfigurationen ISO.
Bekräfta att målhypervisorn och de virtuella värdarna uppfyller HDS-distributionskraven.
Kontrollera att det befintliga HDS-klustret är hälsosamt och att de återstående noderna kan fortsätta hantera trafik medan du ersätter en nod.
Bestäm om varje ersättningsnod ska återanvända källnodens IP-adress och FQDN eller använda nya nätverksinställningar.
Använd den aktuella konfigurations-ISO och den befintliga HDS-databasen för ersättningsnoderna.

Om flytten också ändrar den aktiva konfigurationen för datacenter, databasserver eller HDS-konfiguration läser du Ändra nodkonfiguration och standbydatacenter för katastrofåterställning innan du fortsätter.

1	Välj en HDS-nod på källhypervisorn som ska ersättas. Lämna alla andra noder igång och registrerade.
2	Förbered nätverkskonfigurationen för ersättningsnoden: Om du återanvänder källnodens IP-adress och FQDN stänger du av den virtuella källkoden och avregistrerar noden innan du sätter ersättningsnoden online. Om du använder en ny IP-adress eller FQDN ska du låta källnoden vara igång och registrerad medan du distribuerar och validerar ersättningsnoden. Kör inte källa- och ersättningsnoderna samtidigt om de använder samma nätverkskonfiguration.
3	Skapa och konfigurera ersättande VM på målhypervisorn. Använd den senaste HDS OVA och följ tillämpliga distributionsprocedurer för den hypervisorn.
4	Konfigurera den ersättande virtuella datorns nätverksinställningar enligt den konfiguration som valts i steg 2. Följ installationsanvisningarna för målhypervisorn.
5	Anslut den aktuella HDS-konfigurationen ISO. Om distributionen använder en proxy konfigurerar du proxyn och förtroendelagret enligt beskrivningen i Konfigurera HDS-noden för proxyintegration.
6	Registrera ersättningsnoden med det befintliga klustret eller ett nytt kluster. Mer information finns i Skapa och registrera fler noder.
7	Bekräfta att ersättningsnoden är frisk, ansluten till Webex-molnet och hanterar HDS-trafik. Lös eventuella larm innan du fortsätter.
8	Om källnoden fortfarande körs eftersom ersättningen använder en ny nätverkskonfiguration stänger du av och avregistrerar källnoden. Se Ta bort en nod.
9	Upprepa dessa steg för varje kvarvarande nod på källhypervisorn. Byt inte ut en annan nod förrän klustret är friskt.
10	När alla ersättningsnoder är stabila och återställning inte längre krävs tar du bort de ursprungliga virtuella datorerna från källhypervisorn. Om du behåller en original virtuell dator tillfälligt, håll den avstängd och avmontera dess konfigurations-ISO.

Vad du ska göra härnäst

När du har registrerat ersättningsnoderna, bekräfta att de är friska och att HDS-distributionen hanterar trafik. Om distributionen är korrekt tar du bort alla källnoder som fortfarande är registrerade på den ursprungliga hypervisorn. Om tillämpligt följer du stegen ovan för att ersätta noder i konfigurationen för katastrofåterställning.

Kör HDS-installationsverktyget med Podman Desktop

Podman är ett gratis containerhanteringsverktyg med öppen källkod som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-installationsverktyget körs som en Docker-behållare på en lokal dator. För att komma åt den, ladda ner och kör Podman på den datorn. Installationsprocessen kräver autentiseringsuppgifter för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, referenser) via Docker-miljövariabler när du tar upp Docker-behållaren i steg 5. Denna tabell ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxy utan autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy med autentisering	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy med autentisering	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Databasautentiseringsuppgifter
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du PostgreSQL- eller SQL Server-distributionen för TLS.

Installationsprocessen för hybriddatasäkerhet skapar en ISO-fil. Du använder sedan ISO för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Vad du ska göra härnäst

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfiguration.

Inaktivera molnagenter

Cloud Agents (c-agent) är betrodda Webex-tjänstkonton som utför åtgärder på HDS via delegerad åtkomst på uppdrag av en användare för att förbättra den övergripande användarupplevelsen. Inaktivering av Cloud Agents blockerar Webex-tjänster från att komma åt lokala HDS-nycklar.

Inaktivering av molnagenter kommer att resultera i förlust av funktioner som inspelningar efter mötet, transkriptioner, förhandsgranskningar av filer och automatiserad skanning mot skadlig programvara i Webex App Spaces.

Följ stegen nedan för att inaktivera molnagenter för din HDS-distribution.

1	Starta HDS-installationsverktyget och följ stegen som nämns i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen i det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar.
3	Lägg till konfigurationen nedan på sidan Avancerade inställningar för att inaktivera molnagenter. Detta kommer att säkerställa att molnagenter inte får hantera HDS-trafik. `cloudAgentUpdateEnabled: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Håll säkerhetskopian säker. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomst till endast de Hybriddatasäkerhetsadministratörer som ska göra konfigurationsändringar.
6	Montera konfigurations-ISO-filen: Innan du monterar den nya konfigurationen ISO: Stäng av HDS-noden. Kontrollera att ingen ISO-fil för närvarande är bifogad. Om en ISO-fil är bifogad, ta bort den innan du fortsätter. För VMware-distributioner: Välj den virtuella HDS-datorn i VMware vSphere Client. Högerklicka på den virtuella datorn och välj Redigera inställningar. Välj CD/DVD-enhet 1. Välj Datastore ISO-fil och välj sedan den nya konfigurations-ISO-filen. Se till att Anslut en och Anslut vid påslag ning är valda. Spara ändringarna. För NFVIS-distributioner: Navigera till Konfiguration > Virtuell dator > Bilder > Bildarkiv och ladda upp den nya konfigurations-ISO-filen till NFVIS-avbildningsarkivet. Navigera till Konfiguration > Virtuell dator > Hantera och välj den virtuella HDS-datorn. Öppna CD-ROM-enheter och kontrollera att ingen ISO-fil för närvarande är bifogad. Välj B ifoga och välj sedan den nyligen uppladdade konfigurations-ISO-filen. Slutför åtgärden och kontrollera att den nya konfigurations-ISO-filen är bifogad. För Nutanix-distributioner: I Prism Central går du till Infrastruktur > Beräkning > Bilder. Välj Lägg till bild. Välj Bild fil under Bild källa och välj sedan Lägg till fil. Välj den nya konfigurationen ISO och kontrollera att Typ är inställd på ISO. Slutför platsval för målklustret och avsluta uppladdningen. Gå till Infrastruktur > Beräkning > Virtuella datorer och välj lämplig HDS-VM. På fliken Sammanfattning på VM väljer du Power Operations > Power Off och väntar tills den virtuella datorn är helt stoppad. Öppna fliken Skivor på VM. Om en gammal konfigurations-ISO är ansluten markerar du bara CD-ROM-posten och klickar på Ta bort. Om fältet Källa är tomt för virtuella diskposter på fliken Dis kar markerar du motsvarande kryssrutor och klickar på Ta bort. Välj Bifoga disk och konfigurera följande värden: Typ: CD-ROM Operation: Klona från bild Diskplacering: Samma kluster Bild: Nyligen uppladdad konfiguration ISO Busstyp: SATA Spara konfigurationen och bekräfta att den nya ISO visas som den virtuella datorns bifogade CD-ROM.
7	Slå på HDS-noden och se till att det inte finns några larm i minst 15 minuter.
8	Upprepa processen för varje nod i HDS-distributionen. Kontrollera att Cloud Agents är inaktiverade genom att kontrollera syslogs för följande post: 'Cloud Agent-uppdatering inaktiverad'.

Flytta den befintliga HDS-distributionen med en enda innehavare för en partnerorganisation i Control Hub till en HDS-inställning för flera hyresgäster i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klient av en partnerorganisation som hanteras i Control Hub till en HDS-distribution för flera hyresgäster som hanteras i Partner Hub innebär i första hand att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen ”enskild hyresgäst” hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. Klicka på Hybrid i den vänstra rutan. Klicka på Redigera inställningar på kortet Hybrid Data Security.
2	På inställningssidan bläddrar du ner till avsnittet Inaktivera och klickar på In aktivera.
3	Efter inaktivering klickar du på fliken Resurser.
4	Sidan Resur ser listar kluster i HDS-distributionen. Klicka på ett kluster, en sida öppnas med alla noder under det klustret.
5	Klick till höger och klicka på Av registrera noden. Upprepa processen för alla noder i klustret.
6	Om distributionen har flera kluster upprepar du steg 4 och steg 5 tills alla noder avregistreras.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i HDS-distributionen. Efter HDS-inaktivering, avregistrering av noder och borttagning av kluster visas längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förutsättningar som nämns i K rav för hybriddatasäkerhet med flera hyres gäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partner Hub. Klicka på Tjän ster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya konfigurationen för flera hyresgäster.
2	I avsnittet Hybrid hittar du Hybrid Data Security-kort och klickar på Ställ in.
3	Klicka på Lägg till en resurs på sidan som öppnas.
4	I det första fältet i Skapa ett kluster kort anger du ett namn för det kluster som du vill tilldela noden för hybriddatasäkerhet till. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: ”San Francisco” eller ”New York” eller ”Dallas”
5	I det andra fältet anger du den interna IP-adressen eller fullt kvalificerat domännamn (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Den här IP-adressen eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera virtuell hybriddatasäkerhet. Ett meddelande visas som indikerar att du kan registrera din nod till Webex.
6	Klicka på Gå till nod. Efter några ögonblick omdirigeras du till nodanslutningstesterna för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge behörigheter till din Webex-organisation att komma åt din nod.
7	Markera kryssr utan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto valideras och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. På sidan Hybriddatasä kerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resur ser. Noden hämtar automatiskt den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. Aktiverat HDS- meddelande visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till i rullgardinsmenyn.
12	Klicka på Lägg till, kunden läggs till i klustret.
13	Upprepa steg 11 till 13 om du vill lägga till flera kunder i klustret.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Vad du ska göra härnäst

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-inställningsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att skapa en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att göra PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi stöder inte eller marknadsför ett sätt framför ett annat.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som en riktlinje för att hjälpa dig att skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din Certificate Authority (CA).

1	När du får servercertifikatet från certifikatutfärdaren sparar du det som `hdsno` de.pem.
2	Visa certifikatet som text och kontrollera detaljerna. `openssl x509 -text -noout -i hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil som heter `hdsno` de-bundle.pem. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande certifikatutfärdarcertifikat och rotcertifikatutfärdarcertifikat i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Skapa filen.p12 med det vänliga namnet kms-private-key.` `openssl pkcs12 -exportera -inkey hdsnode.key -in-hdsnode-bundle.pem -namn kms-private-key -caname kms-privatnyckel-out hdsnode.p12`
5	Kontrollera servercertifikatinformationen. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord vid uppmaningen för att kryptera den privata nyckeln så att den visas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-` private-key. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Vad du ska göra härnäst

Återgå till att slutföra förutsättningarna för hybriddatasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Trafik för insamling av utgående mätvärden

Noderna för hybriddatasäkerhet skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmätvärden för hög max, hög som används, CPU-belastning och trådantal; mätvärden för synkrona och asynkrona trådar; mätvärden för varningar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärankölängd; mätvärden på datalagret; och mätvärden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Noderna för hybriddatasäkerhet tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar till nodprogramvaran

Konfigurera Squid-proxyer för hybriddatasäkerhet

Websocket kan inte ansluta via Squid Proxy

Squid-proxyer som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur du konfigurerar olika versioner av Squid för att ignorera wss: trafik för korrekt drift av tjänsterna.

Bläckfisk 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Bläckfisk 3.5.27

Vi testade framgångsrikt Hybrid Data Security med följande regler tillagda i squid .conf. Dessa regler kan komma att ändras när vi utvecklar funktioner och uppdaterar Webex-molnet.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Inaktivera hybriddatasäkerhet för flera hyresgäster

Aktivitetsflöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera Multi-Tenant HDS.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort klientorganisationer.
2	Återkalla CMK:erna för alla kunder, som nämns i Åter kalla CMK:er för hyresgäster som tagits bort från HDS. .
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med någon av följande två metoder. Klicka på klustret du vill ta bort och välj Ta bort detta kluster längst upp till höger på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och välj Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan Hybrid Data Security och klicka på In aktivera HDS på HDS-statuskortet.

Vanliga frågor

Q. Lagras CMK:erna och huvudnyckeln i ISO eller databasen?

A. Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO.

F. Används en nyckel för att kryptera alla data från kundorganisationer?

A. Nej. Varje kundorganisations data krypteras med sin egen CMK (Customer Main Key).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

A. Vissa operationer, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar byter användare som hanteras av partnern till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och en-till-en-utrymmen.

F. När CMK har genererats för en kundorgan via HDS-installationsverktyget, börjar användare av kundorganisationen omedelbart utnyttja Multi-Tenant HDS?

S: Det kan finnas en maximal fördröjning på 24 timmar för molncachen att uppdatera.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen ”Lägg till kunder” i Partner Hub?

A. Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webexlicenskraven.

Fråga: Vad är effekten om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

A. Verksamheter som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Krypteras partnerorganisationens användardata med huvudnyckeln som genererades under skapandet av ISO?

Svar: Ja. För närvarande krypteras partnerorganisationens användardata med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna vara i olika regioner (säg USA och EU)?

Svar: Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och endast använda Multi-Tenant HDS för att hantera kunder?

Svar: Nej, detta stöds inte för närvarande. Stöd för denna funktionalitet planeras för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

A. Logga in på Partner Hub. Gå till Tjänster > Hybrid datasäkerhet > Inställningar. Om HDS-status är aktiverad använder både användare av partnerorganisationen och tilldelade kunder HDS för flera hyresgäster.

Alternativt kan du kontrollera dina syslogs för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

Svar: Ja. Pod man Desktop är ett alternativ med öppen källkod till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

A. Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera Multi-Tenant HDS?

A. Se K rav på extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

A. Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvarig för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS för flera hyresgäster?

Svar: Nej, för närvarande stöder Multi-Tenant HDS inte HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

A. Nej. Multi-Tenant HDS kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som nämns i X.509- certifikatkrav.

F. Behövs montering av ISO varje gång en ny kund läggs till i Partner Hub?

A. Nej. ISO behöver bara monteras vid modifiering av ISO-konfigurationer. När du lägger till en ny kund på Partner Hub, se till att du kan skapa CMK:er med HDS Setup Tool. Mer information finns i Skapa kundhuvudnycklar (CMK) med HDS-inställningsverktyget.

Fråga: När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen utnyttja lokal KMS för nyckelhantering?

A. Användare börjar använda lokal KMS för nyckelhantering först efter att HDS har aktiverats i Partner Hub.

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
13 december 2024	Första versionen.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Hörnstenen i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

***Separationsrealm (utan Hybrid-datasäkerhet)***

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Före redundans har datacenter A aktiva HDS-noder och den primära PostgreSQL- eller Microsoft SQL Server-databasen, medan B har en kopia av ISO-filen med ytterligare konfigurationer, VM-datorer som är registrerade i organisationen och en databas för vänteläge. Efter redundans har datacenter B aktiva HDS-noder och den primära databasen, medan A har oregistrerade VM-datorer och en kopia av ISO-filen och databasen är i vänteläge. — ***Manuell redundans till datacenter för vänteläge***

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 6.5 (eller senare) installeras och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 6.5. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 6.5. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen ISO. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
15 januari 2025	Lade till begränsningar för Hybrid-datasäkerhet för flera klienter.
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Begränsningar för datasäkerhet för flera klienter för hybrid

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Klientorganisationer eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare i kundorganisationer och användare i partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att ha samma HDS-distribution för flera klienter.

Partnerorganisationen kommer inte längre att använda moln-KMS när HDS för flera klienter har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till moln-KMS efter en HDS-distribution.
För närvarande kan varje HDS-distribution med flera klienter endast ha ett kluster, med flera noder under det.
Administratörsroller har vissa begränsningar, se avsnittet nedan för mer information.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017 eller 2019 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på partnerhubben och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
30 januari 2025	Lade till SQL-serverversion 2022 i listan över SQL-servrar som stöds i Databasserverkrav.
15 januari 2025	Lade till begränsningar för Hybrid-datasäkerhet för flera klienter.
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Begränsningar för datasäkerhet för flera klienter för hybrid

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Klientorganisationer eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare i kundorganisationer och användare i partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att ha samma HDS-distribution för flera klienter.

Partnerorganisationen kommer inte längre att använda moln-KMS när HDS för flera klienter har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till moln-KMS efter en HDS-distribution.
För närvarande kan varje HDS-distribution med flera klienter endast ha ett kluster, med flera noder under det.
Administratörsroller har vissa begränsningar, se avsnittet nedan för mer information.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på partnerhubben och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
30 januari 2025	Lade till SQL-serverversion 2022 i listan över SQL-servrar som stöds i Databasserverkrav.
15 januari 2025	Lade till begränsningar för Hybrid-datasäkerhet för flera klienter.
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Begränsningar för datasäkerhet för flera klienter för hybrid

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Klientorganisationer eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare i kundorganisationer och användare i partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att ha samma HDS-distribution för flera klienter.

Partnerorganisationen kommer inte längre att använda moln-KMS när HDS för flera klienter har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till moln-KMS efter en HDS-distribution.
För närvarande kan varje HDS-distribution med flera klienter endast ha ett kluster, med flera noder under det.
Administratörsroller har vissa begränsningar, se avsnittet nedan för mer information.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.företag.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, privat nyckel och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår kan det lösa problemet genom att kringgå (inte kontrol lera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på partnerhubben och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp: stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker inloggning -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-inställning: stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp: stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet användarnamn@DOMÄN i fältet Användarnamn .
Ange databasserveradressen i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxStorlek: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL + C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `Administratör` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD-enhet 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Skriv in URL: en för HDS-nodens konfiguration `, https://[HDS nod IP eller FQDN]/Setup` i en webbläsare, ange administratörs uppgifterna som du har angett för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

För att kontrollera om en användare först har etablerat en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriVärd=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Om du vill söka efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=NYCKEL:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=hämta, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriVärd=ciscospark.com, kms.data.type=NYCKEL, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

För att söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=skapa, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:BEGÄRAN] mottaget, enhets-ID: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=skapa, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESURS_SAMLING, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://användarnamn:lösenord@server_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://användarnamn:lösenord@server_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp: stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker inloggning -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-inställning: stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp: stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker kör -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL + C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD-enhet 1`, välj alternativet för att montera från en ISO-fil och bläddra sedan till platsen där du placerade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en fil med certifikatpaket som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE------ ### Servercertifikat. ### -----END CERTIFICATE-------------- ### Mellanliggande CA-certifikat. ### -----END CERTIFICATE----------- ### Rot-CA-certifikat. ### -----END CERTIFICATE------`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -i hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Ange importlösenord: MAC-verifierade attribut för OK-väska vänligNamn: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Nyckelattribut: Ange lösenfras för PEM-pass: Verifierar – ange lösenordsfras för PEM: -----BÖRJA KRYPTERAD PRIVAT NYCKEL----- -----END KRYPTERAD PRIVAT NYCKEL----- Bag-attribut vänligName: kms-private-key lokalNyckel-ID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3, O=Let's Encrypt, C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 ------- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda filen hdsnode.p12 och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar; värden för synkroniserade och asynkrona trådar; värden för varningar med tröskelvärde för krypteringsanslutningar, latens eller längd på en förfrågan; värden för datalager och värden för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger dig vägledning om hur du konfigurerar olika versioner av squid för att ignorera WSS: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel alla

Squid-3.5.27

Vi har testat hybrid data säkerhet med följande regler lades till i squid. conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex kvicksilveranslutning ssl_bump splice wssMercuryConnection acl steg1 at_step SslBump1 acl steg2 at_step SslBump2 acl steg3 at_step SslBump3 ssl_bump peek steg1 alla ssl_bump stare steg2 alla ssl_bump bump steg3 alla

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
16 april 2026	Uppdaterade Databasserverkrav för att lägga till stöd för PostgreSQL version 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med Network Access Translation (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmestitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registrering av molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen omfattar nya funktioner, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguide för Hybrid-datasäkerhet för flera klienter.

Datum	Ändringar har gjorts
4 mars 2025	Lade till avsnittet Kör HDS-konfigurationsverktyg med Podman Desktop . Lade till en anteckning i Docker skrivbordskrav som gav kunder ett alternativ med öppen källkod. Uppdaterade Skapa en konfiguration ISO för HDS-värdarna och Ändra nodkonfiguration med anvisningar om hur du använder Podman Desktop för kunder utan en Docker Desktop-licens.
30 januari 2025	Lade till SQL-serverversion 2022 i listan över SQL-servrar som stöds i Databasserverkrav.
15 januari 2025	Lade till Begränsningar för Hybrid-datasäkerhet för flera klienter.
08 januari 2025	Lade till en anteckning i Utför inledande konfiguration och hämta installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i partnerhubben.
07 januari 2025	Uppdaterade krav för virtuell värd, uppgiftsflöde för distribution av hybrid-datasäkerhet och installera HDS Host OVA för att visa nya krav för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera Hybrid-datasäkerhet för flera klienter

Uppgiftsflöde för inaktivering av HDS för flera klienter

Följ dessa steg för att inaktivera HDS för flera klienter helt.

Innan du börjar

Den här uppgiften bör endast utföras av en fullständig partneradministratör.

1	Ta bort alla kunder från alla dina kluster enligt beskrivningen i Ta bort klientorganisationer.
2	Återkalla alla kunders CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster enligt beskrivningen i Ta bort en nod.
4	Ta bort alla dina kluster från partnerhubben med en av följande två metoder. Klicka på det kluster som du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet på översiktssidan. På sidan Resurser klickar du på på höger sida av ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för Hybrid-datasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med Hybrid-datasäkerhet för flera klienter

Översikt över datasäkerhet för flera klienter för hybrid

Från dag ett har datasäkerhet varit det primära fokus i utformningen av Webex-appen. Kärnan i denna säkerhet är end-to-end-kryptering av innehåll, som aktiveras av Webex-appklienter som interagerar med Key Management Service (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder slutpunkt-till-slutpunkt-kryptering med dynamiska nycklar som lagras i moln-KMS i Ciscos säkerhetssfär. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid-datasäkerhet för flera klienter gör det möjligt för organisationer att dra nytta av HDS via en betrodd lokal partner, som kan fungera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Denna konfiguration gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att användardata från kundorganisationer är skyddade mot extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Partnerorganisationer har kontroll över distribution och hantering men de har inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS eftersom nyckelhanteringstjänsten och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur Hybrid-datasäkerhet för flera klienter ger datasuveränitet och datakontroll

Användargenererat innehåll skyddas från extern åtkomst, t.ex. molntjänstleverantörer.
Lokala betrodda partner hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Alternativ för lokal teknisk support, om den tillhandahålls av partnern.
Stöder mötes-, meddelande- och samtalsinnehåll.

Det här dokumentet syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett Hybrid-datasäkerhetssystem för flera klienter.

Begränsningar för datasäkerhet för flera klienter för hybrid

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Klientorganisationer eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har distribuerats av partnern börjar alla användare i kundorganisationer och användare i partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att ha samma HDS-distribution för flera klienter.

Partnerorganisationen kommer inte längre att använda moln-KMS när HDS för flera klienter har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till moln-KMS efter en HDS-distribution.
För närvarande kan varje HDS-distribution med flera klienter endast ha ett kluster, med flera noder under det.
Administratörsroller har vissa begränsningar, se avsnittet nedan för mer information.

Roller i Hybrid-datasäkerhet för flera klienter

Fullständig partneradministratör – Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör – administratör för partnerorganisationen som har behörighet att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Fullständig HDS-konfiguration och hantering av alla kundorganisationer från slutpunkt till slutpunkt – fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade klientorganisationer – Partneradministratör och fullständiga administratörsrättigheter krävs.

Säkerhetsarkitektur

Webex molnarkitektur separerar olika typer av tjänster i separata sfärer eller betrodda domäner, enligt nedan.

För att ytterligare förstå Hybrid-datasäkerhet ska vi först titta på det här rena molnfallet, där Cisco tillhandahåller alla funktioner i sina molnområden. Identitetstjänsten, den enda plats där användare kan korreleras direkt med sin personliga information som e-postadresser, är logiskt och fysiskt åtskild från säkerhetssfären i datacenter B. Båda är i sin tur åtskilda från sfären där krypterat innehåll lagras i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande som ska skickas till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning till nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH och KMS krypterar nyckeln med hjälp av en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringssfären.

När du distribuerar Hybrid-datasäkerhet flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive lagring av identitet och innehåll) förblir i Ciscos sfärer.

Samarbeta med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det har skapats av en av dina användare) skickar KMS nyckeln till klienten via en ECDH-säker kanal. Men när en annan organisation äger nyckeln till utrymmet dirigerar din KMS ut begäran till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på Org A validerar anslutningar till KMS i andra organisationer med x.509 PKI-certifikat. Se Förbered din miljö för mer information om hur du genererar ett x.509-certifikat för användning med din Hybrid-datasäkerhetsdistribution för flera klienter.

Förväntningar på att distribuera Hybrid-datasäkerhet

En distribution av Hybrid-datasäkerhet kräver ett betydande engagemang och en medvetenhet om riskerna med att äga krypteringsnycklar.

För att distribuera Hybrid-datasäkerhet måste du ange:

Ett säkert datacenter i ett land som är en plats som stöds för Cisco Webex Teams-planer.
Utrustning, programvara och nätverksåtkomst som beskrivs i Förbered din miljö.

Fullständig förlust av antingen den ISO-konfiguration som du skapar för Hybrid-datasäkerhet eller den databas som du tillhandahåller leder till förlust av nycklarna. Nyckelförlust förhindrar användare från att avkryptera utrymmesinnehåll och andra krypterade data i Webex-appen. Om detta händer kan du skapa en ny distribution, men endast nytt innehåll visas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurationsISO.
Var beredd på att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel databasdiskfel eller datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Installationsprocess på hög nivå

Det här dokumentet beskriver konfiguration och hantering av en datasäkerhetsdistribution för flera klienter för hybrid:

Konfigurera hybrid-datasäkerhet – Detta inkluderar förberedelse av nödvändig infrastruktur och installation av programvara för hybrid-datasäkerhet, skapande av ett HDS-kluster, tillägg av klientorganisationer i klustret och hantering av kundens huvudnycklar (CMK:er). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt Hybrid-datasäkerhetskluster för säkerhetsfunktioner.

Konfigurations-, aktiverings- och hanteringsfaserna beskrivs ingående i de följande tre kapitlen.
Underhålla din distribution av Hybrid-datasäkerhet – Webex-molnet tillhandahåller automatiskt pågående uppgraderingar. Din IT-avdelning kan ge support på nivå ett för den här distributionen och kontakta Cisco-support efter behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i partnerhubben.
Förstå vanliga varningar, felsökningssteg och kända problem – om du har problem med att distribuera eller använda Hybrid-datasäkerhet kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att fastställa och åtgärda problemet.

Distributionsmodell för Hybrid-datasäkerhet

I ditt företags datacenter distribuerar du hybrid-datasäkerhet som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen ger vi dig OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-konfigurationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid-datasäkerhetsklustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar information om syslogd och databasanslutning i HDS-konfigurationsverktyget.)

Distributionsmodell för Hybrid-datasäkerhet

Minsta antal noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programvaruuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar endast en nod i taget.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggaktivitet till samma syslog-server. Noderna själva är statslösa och hanterar nyckelförfrågningar i roterande läge, som styrs av molnet.

Noder blir aktiva när du registrerar dem i partnerhubben. Om du vill ta bort en enskild nod från tjänst kan du avregistrera den och senare registrera den om det behövs.

Standby-datacenter för katastrofåterställning

Under distributionen konfigurerar du ett säkert datacenter för vänteläge. I händelse av en datacenterkatastrof kan du manuellt misslyckas med distributionen till datacentret i vänteläge.

Databaserna för aktiva datacenter och standby-datacenter är synkroniserade med varandra, vilket minimerar den tid som krävs för att utföra redundans.

De aktiva datasäkerhetsnoderna för hybrid måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy – Standard om du inte använder HDS-nodkonfigurationen Trust Store och proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent proxy utan inspektion – Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs.
Transparent tunneling eller inspektion av proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy – Med explicit proxy talar du om för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn.
2. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik.
3. Proxyprotokoll – Välj mellan följande protokoll beroende på vad din proxyserver har stöd för:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp – Välj bland följande autentiseringstyper:
  - Ingen – Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för datasäkerhet för flera klienter för hybrid

Cisco Webex-licenskrav

Så här distribuerar du Hybrid-datasäkerhet för flera klienter:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvarige och kontrollera att funktionen för flera klienter är aktiverad.
Klientorganisationer: Du måste ha Pro-paketet för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Skrivbordskrav för Docker

Innan du installerar dina HDS-noder måste du köra ett installationsprogram med Docker Desktop. Docker har nyligen uppdaterat sin licensieringsmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan en Docker Desktop-licens kan använda ett verktyg för hantering av behållare med öppen källkod som Podman Desktop för att köra, hantera och skapa behållare. Mer information finns i Kör HDS-konfigurationsverktyg med Podman Desktop .

X.509-certifikatkrav

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för Hybrid-datasäkerhetsdistribution
Krav	Detaljer
Signerat av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdare i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett gemensamt namn (CN)-domännamn som identifierar din datasäkerhetsdistribution för hybrid Är inte ett jokertecken-certifikat	CN behöver inte kunna nås eller vara värd live. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. CN får inte innehålla ett * (jokertecken). CN används för att verifiera datasäkerhetsnoderna för hybrid till Webex-appklienter. Alla Hybrid-datasäkerhetsnoder i ditt kluster använder samma certifikat. Din KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Signatur utan SHA1	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS.
Formaterat som en lösenordsskyddad PKCS #12-fil Använd det vänliga namnet på `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat att ladda upp.	Du kan använda en konverterare som OpenSSL för att ändra certifikatets format. Du måste ange lösenordet när du kör HDS-konfigurationsverktyget.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningsbegränsningar. Vissa certifikatutfärdare kräver att utökade användningsbegränsningar för nycklar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuell värd

De virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter
VMware ESXi 7.0 (eller senare) installerad och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB huvudminne, 30 GB lokalt hårddiskutrymme per server

Krav på databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.

Det finns två alternativ för databasservern. Kraven för var och en av dem är följande:

Tabell 2. Krav på databasserver efter typ av databas
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 eller 16, installerad och körs.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerad. SQL Server 2016 kräver Service Pack 2 och kumulativ uppdatering 2 eller senare.
Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB huvudminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under lång tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL-server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinen har stöd för SQL Server Always On (Always On Failover Cluster Instance och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din keystore-databas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

Alla HDS-noder, Active Directory-infrastruktur och MS SQL Server måste synkroniseras med NTP.
Det Windows-konto som du tillhandahåller till HDS-noder måste ha läs-/skrivbehörighet till databasen.
DNS-servrarna som du tillhandahåller till HDS-noderna måste kunna lösa ditt Key Distribution Center (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL-server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett huvudnamn för tjänsten för Kerberos-anslutningar.

HDS-konfigurationsverktyget, HDS-startaren och lokal KMS måste alla använda Windows-autentisering för att komma åt keystore-databasen. De använder informationen från din ISO-konfiguration för att skapa SPN när de begär åtkomst med Kerberos-autentisering.

Krav på extern anslutning

Konfigurera brandväggen så att följande anslutning tillåts för HDS-programmen:

Program	Protokoll	Port	Riktning från appen	Destination
Datasäkerhetsnoder för hybrid	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla värdar för Common Identity Andra URL:er som är listade för Hybrid-datasäkerhet i tabellen Ytterligare URL:er för Webex Hybrid-tjänster i Nätverkskrav för Webex-tjänster
Inställningsverktyg för HDS	TCP	443	Utgående HTTPS	*.wbx2.com Alla värdar för Common Identity hub.docker.com

Datasäkerhetsnoderna för hybrid fungerar med NAT (Network Access Translation) eller bakom en brandvägg, så länge NAT eller brandväggen tillåter de nödvändiga utgående anslutningarna till domändestinationerna i tabellen ovan. För anslutningar som går in till datasäkerhetsnoderna för hybrid bör inga portar vara synliga från internet. I ditt datacenter behöver klienterna åtkomst till datasäkerhetsnoderna för hybrid på TCP-portarna 443 och 22, av administrativa skäl.

URL:erna till värdarna för Common Identity (CI) är regionspecifika. Dessa är de aktuella CI-värdarna:

Region	URL:er för Common Identity Host
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:). Se Konfigurera Squid-proxyservrar för Hybrid-datasäkerhet för att kringgå problemet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om detta problem uppstår löser du problemet genom att kringgå (inte inspektera) trafik till wbx2.com och ciscospark.com .

Uppfyll förutsättningarna för Hybrid-datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid-datasäkerhetskluster.

1	Se till att din partnerorganisation har HDS-funktionen för flera klienter aktiverad och få inloggningsuppgifterna för ett konto med fullständig partneradministratör och fullständiga administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro-paketet för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvarige för att få hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du konfigurerar som datasäkerhetsnoder för hybrid i ditt kluster. Du behöver minst två separata värdar (3 rekommenderade) placerade i samma säkra datacenter som uppfyller kraven i Krav för virtuell värd.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret i enlighet med kraven för databasservern. Databasservern måste placeras i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-programmen skapar databasschemat när de har installerats.) Samla in den information som noderna kommer att använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamn och lösenord för en användare med alla privilegier i databasen för nyckellagring
5	För snabb katastrofåterställning ska du konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella datorer och en säkerhetskopieringsserver. Om produktionen till exempel har 3 VM-datorer som kör HDS-noder bör säkerhetskopieringsmiljön ha 3 VM-datorer.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in nätverksadressen och syslog-porten (standard är UDP 514).
7	Skapa en säker policy för säkerhetskopiering av datasäkerhetsnoderna för hybrid, databasservern och syslog-värden. Som ett minimum måste du säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för datasäkerhetsnoderna för hybrid. Eftersom hybrid-datasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, leder underlåtenhet att upprätthålla en operativ distribution till att OÅTERKALLELIG FÖRLUST av innehållet. Webex-appklienter cachelagrar sina nycklar, så ett avbrott kanske inte upptäcks omedelbart men kommer att bli uppenbart med tiden. Tillfälliga avbrott är omöjliga att förhindra, men de kan återställas. Fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurationsfilen leder dock till oåterkalleliga kunddata. Operatörerna av datasäkerhetsnoderna för hybrid förväntas upprätthålla frekventa säkerhetskopieringar av databasen och konfigurationsfilen och vara redo att återskapa datacentret för hybrid-datasäkerhet om ett katastroffel inträffar.
8	Kontrollera att brandväggskonfigurationen tillåter anslutning för dina datasäkerhetsnoder för hybrid enligt beskrivningen i Krav på extern anslutning.
9	Installera Docker ( https://www.docker.com) på en lokal dator som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bitars eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att hämta och köra HDS-konfigurationsverktyget, som bygger den lokala konfigurationsinformationen för alla datasäkerhetsnoder för hybrid. Du kan behöva en Docker Desktop-licens. Se Krav på Docker Desktop för mer information. För att installera och köra HDS-konfigurationsverktyget måste den lokala datorn ha den anslutning som beskrivs i Krav på extern anslutning.
10	Om du integrerar en proxy med Hybrid-datasäkerhet ska du se till att den uppfyller kraven för proxyserver.

Konfigurera ett datasäkerhetskluster för hybrid

Uppgiftsflöde för distribution av Hybrid-datasäkerhet

Innan du börjar

1	Utför initial konfiguration och hämta installationsfiler Hämta OVA-filen till din lokala dator för senare användning.
2	Skapa en konfiguration-ISO för HDS-värdarna Använd HDS-konfigurationsverktyget för att skapa en ISO-konfigurationsfil för datasäkerhetsnoderna för hybrid.
3	Installera HDS-värd-OVA Skapa en virtuell dator från OVA-filen och utför inledande konfiguration, t.ex. nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera VM för datasäkerhet för hybrid Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera ISO för HDS-konfiguration Konfigurera VM-datorn från ISO-konfigurationsfilen som du har skapat med HDS-konfigurationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy du ska använda för noden och lägger till proxycertifikatet i den betrodda lagringen om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en datasäkerhetsnod för hybrid.
8	Skapa och registrera fler noder Slutför klusterkonfigurationen.
9	Aktivera HDS för flera klienter i partnerhubben. Aktivera HDS och hantera klientorganisationer i partnerhubben.

Utför initial konfiguration och hämta installationsfiler

I den här uppgiften hämtar du en OVA-fil till datorn (inte till de servrar som du konfigurerar som datasäkerhetsnoder för hybrid). Du använder den här filen senare i installationsprocessen.

1	Logga in på partnerhubben och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar sedan på Konfigurera. Att klicka på Konfigurera i partnerhubben är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra det här steget.
3	Klicka på Lägg till en resurs och klicka på Hämta .OVA-fil på kortet Installera och konfigurera programvara . Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna av Hybrid-datasäkerhet. Detta kan leda till problem vid uppgradering av programmet. Se till att du hämtar den senaste versionen av OVA-filen. Du kan också när som helst hämta OVA från avsnittet Hjälp . Klicka på Inställningar > Hjälp > Hämta programvara för Hybrid-datasäkerhet. OVA-filen börjar automatiskt hämtningen. Spara filen på en plats på datorn.
4	Du kan även klicka på Se distributionsguiden för hybrid-datasäkerhet för att kontrollera om det finns en senare version av guiden tillgänglig.

Skapa en konfiguration-ISO för HDS-värdarna

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-konfigurationsverktyget för steg 1 till 5 i proceduren nedan. Mer information finns i Kör HDS-konfigurationsverktyg med Podman Desktop .

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö anger du proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd.

Använd en webbläsare för att gå till den lokala värden http://127.0.0.1:8080 och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det.

Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.

7

När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.

8

Klicka på Kom igång på översiktssidan för konfigurationsverktyget.

9

På sidan ISO-import har du följande alternativ:

Nej – om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja – om du redan har skapat HDS-noder väljer du din ISO-fil i bläddraren och överför den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har överfört ett certifikat tidigare överför du X.509-certifikatet, anger lösenordet och klickar på Fortsätt.
Om certifikatet är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det väljer du Nej för Fortsätt använda HDS-certifikatkedja och privat nyckel från tidigare ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för HDS för att få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Server får du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn .
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn .
Ange adressen till databasservern i formatet : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att lösa värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange databasnamnet.
Ange Användarnamn och Lösenord för en användare med alla privilegier i databasen för nyckellagring.

12

Välj ett anslutningsläge för TLS-databasen:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna med en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. När en TLS-anslutning har upprättats jämför noden certifikatets undertecknare från databasservern med certifikatutfärdaren i Databasrotcertifikatet. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och -port . Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du överför rotcertifikatet (om det behövs) och klickar på Fortsätt, testar HDS-konfigurationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av anslutningsskillnader kan det hända att HDS-noderna kan upprätta TLS-anslutningen även om maskinen för HDS-konfigurationsverktyget inte kan testa den.)

13

Konfigurera din Syslogd-server på sidan Systemloggar:

Ange URL för syslog-servern.

Om servern inte är DNS-lösbar från noderna till ditt HDS-kluster ska du använda en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar servern för TLS-kryptering markerar du Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan ska du ange en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj avslutning av syslog-post väljer du lämplig inställning för din ISO-fil: Välj eller använd ny linje för Graylog och Rsyslog TCP
- Null byte -- 00
- Nyrad -- \n – Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa parametrar för databasanslutning i Avancerade inställningar. I allmänhet är den här parametern den enda som du vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för tjänstkonton .

Lösenord för tjänstekonto har en livslängd på nio månader. Använd den här skärmen när dina lösenord snart upphör att gälla eller om du vill återställa dem till ogiltiga tidigare ISO-filer.

16

Klicka på Hämta ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.

18

Om du vill stänga av konfigurationsverktyget skriver du CTRL+C.

Nästa steg

Säkerhetskopiera ISO-konfigurationsfilen. Du behöver det för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du även förlorat huvudnyckeln. Det går inte att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa om du förlorar den.

Installera HDS-värd-OVA

Använd denna procedur för att skapa en virtuell dator från OVA-filen.

1	Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden.
2	Välj Arkiv > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du hämtade tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och mapp anger du ett virtuellt datornamn för noden (till exempel ”HDS_Node_1”), väljer en plats där distributionen av den virtuella datornoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du destinationens beräkningsresurs och klickar sedan på Nästa. En valideringskontroll körs. När den är klar visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att godkänna standarddiskformatet och VM-lagringspolicyn.
9	På sidan Välj nätverk väljer du nätverksalternativet i listan över poster för att tillhandahålla önskad anslutning till VM-datorn.
10	Konfigurera följande nätverksinställningar på sidan Anpassa mall : Värdnamn – ange FQDN (värdnamn och domän) eller ett enda ord värdnamn för noden. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet. För att säkerställa en lyckad registrering i molnet ska du endast använda gemener i det FQDN eller värdnamn som du har angett för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN får inte överskrida 64 tecken. IP-adress – ange IP-adressen för nodens interna gränssnitt. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte. Mask – Ange nätmaskens adress med decimalnotation. Till exempel 255.255.255.0. Gateway – ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som åtkomstpunkt till ett annat nätverk. DNS-servrar – Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster tillåts.) NTP-servrar – ange organisationens NTP-server eller en annan extern NTP-server som kan användas i organisationen. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan även använda en kommaavgränsad lista för att ange flera NTP-servrar. Distribuera alla noder på samma subnät eller VLAN så att alla noder i ett kluster kan nås från klienter i nätverket för administrativa ändamål. Om du vill kan du hoppa över konfigurationen av nätverksinställningar och följa stegen i Konfigurera VM för hybrid-datasäkerhet för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distributionen har testats med ESXi 7.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens VM och välj sedan Ström > Slå på. Hybrid-datasäkerhetsprogramvaran installeras som gäst på VM-värden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Du kan uppleva en fördröjning på några minuter innan nodbehållarna dyker upp. Ett brons brandväggsmeddelande visas på konsolen vid första starten, då du inte kan logga in.

Konfigurera VM för datasäkerhet för hybrid

Använd denna procedur för att logga in på VM-konsolen för datasäkerhetsnod för hybrid för första gången och ange inloggningsuppgifterna. Du kan även använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du VM för datasäkerhetsnod för hybrid och väljer fliken Konsol . VM-datorn startas och en inloggningsuppmaning visas. Om inloggningsuppmaningen inte visas trycker du på Retur.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `cisco` Eftersom du loggar in på din VM för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVA hoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration på huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Noden bör ha en intern IP-adress och DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-servrar om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar domänen som du använde för att erhålla X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om VM-datorn så att ändringarna börjar gälla.

Ladda upp och montera ISO för HDS-konfiguration

Använd denna procedur för att konfigurera den virtuella datorn från ISO-filen som du skapade med HDS-konfigurationsverktyget.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras för ”behöver veta” för åtkomst av virtuella datorer för hybrid-datasäkerhet och alla administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer kan komma åt datalagret.

1

Ladda upp ISO-filen från datorn:

Klicka på ESXi-servern i VMware vSphere-klientens vänstra navigeringspanel.
På fliken Konfiguration klickar du på Lagring.
Högerklicka på datalagret för dina VM-datorer i listan Datalager och klicka på Bläddra i datalager.
Klicka på ikonen Överför filer och klicka sedan på Överför fil.
Bläddra till den plats där du hämtade ISO-filen på datorn och klicka på Öppna.
Klicka på Ja för att godkänna varningen om uppladdning/hämtning och stäng dialogrutan för datalagring.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att godkänna varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du överförde ISO-konfigurationsfilen.
Markera Ansluten och Anslut vid påslagen.
Spara ändringarna och starta om den virtuella datorn.

Nästa steg

Om din IT-policy kräver kan du avmontera ISO-filen när alla noder har hämtat konfigurationsändringarna. Se (valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxysupport för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange URL för inställning av HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy – standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent proxy utan inspektion – noder är inte konfigurerade att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en proxy utan inspektion. Ingen certifikat uppdatering krävs. Transparent inspekterande proxy – noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy – Med explicit proxy talar du om för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet har stöd för flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy-IP/FQDN – Adress som kan användas för att nå proxydatorn. Proxyport – ett portnummer som proxyn använder för att lyssna efter närliggande trafik. Proxy Protocol – Välj http (visar och styr alla förfrågningar som tas emot från klienten) eller https (ger en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp – Välj bland följande autentiseringstyper: Ingen – Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande – används för en HTTP-användaragent för att ange ett användarnamn och lösenord när du gör en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Sammanfattning – används för att bekräfta kontot innan du skickar känslig information. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel ska du slutföra dessa steg och se Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den allmänna nod som du har skapat i Konfigurera VM för datasäkerhet för hybrid, registrerar noden i Webex-molnet och omvandlar den till en datasäkerhetsnod för hybrid.

När du registrerar din första nod skapar du ett kluster som noden har tilldelats. Ett kluster innehåller en eller flera noder som distribueras för att tillhandahålla redundans.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Konfigurera.
4	Klicka på Lägg till en resurs på sidan som öppnas.
5	I det första fältet på kortet Lägg till en nod anger du ett namn på det kluster som du vill tilldela din datasäkerhetsnod för hybrid till. Vi rekommenderar att du namnger ett kluster baserat på var noderna i klustret finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klickar på Lägg till längst ned på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera VM för Hybrid-datasäkerhet. Ett meddelande visas som anger att du kan registrera din nod till Webex.
7	Klicka på Gå till nod. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. På sidan Hybrid-datasäkerhet visas det nya klustret som innehåller noden som du har registrerat under fliken Resurser . Noden hämtar automatiskt den senaste programvaran från molnet.

Skapa och registrera fler noder

Om du vill lägga till ytterligare noder i ditt kluster skapar du bara ytterligare VM-datorer och monterar samma ISO-konfigurationsfil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du startar registreringen av en nod måste du slutföra den inom 60 minuter eller så måste du starta om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter undantag för admin.webex.com.

1	Skapa en ny virtuell dator från OVA och upprepa stegen i Installera HDS-värd-OVA.
2	Konfigurera den första konfigurationen för den nya VM och upprepa stegen i Konfigurera VM för Hybrid-datasäkerhet.
3	Upprepa stegen i Överför och montera HDS-konfigurationen ISO på den nya VM-datorn.
4	Om du konfigurerar en proxy för din distribution upprepar du stegen i Konfigurera HDS-noden för proxyintegrering efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.com väljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp Hybrid-datasäkerhetskortet och klickar på Visa alla. Sidan Hybrid-datasäkerhetsresurser visas. Det nyskapade klustret visas på sidan Resurser . Klicka på klustret för att visa de noder som tilldelats klustret. Klicka på Lägg till en nod till höger på skärmen. Ange din nods interna IP-adress eller fullständigt kvalificerat domännamn (FQDN) och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en stund omdirigeras du till anslutningstesterna för noden för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till datasäkerhetsnod för hybrid. Där bekräftar du att du vill ge organisationen behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din datasäkerhetsnod för hybrid och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet ”Registrering slutförd” indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan för Hybrid-datasäkerhet i partnerhubben. Popup-meddelandet Nod tillagd visas också längst ned på skärmen i partnerhubben. Din nod är registrerad.

Hantera klientorganisationer för datasäkerhet för flera klienter för hybrid

Aktivera HDS för flera klienter i partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja använda HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster för flera klienter med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status .

Lägg till klientorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt Hybrid-datasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	Klicka på klustret som du vill att en kund ska tilldelas till.
5	Gå till fliken Tilldelade kunder .
6	Klicka på Lägg till kunder.
7	Välj kunden som du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg till, kunden kommer att läggas till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-konfigurationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen.

Skapa kundhuvudnycklar (CMK:er) med HDS-konfigurationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till klientorganisationer i partnerhubben. Kör HDS-konfigurationsverktyget för att slutföra konfigurationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Se till att du är ansluten till databasen för att utföra CMK-hantering.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Skapa CMK för alla organisationer eller Skapa CMK – klicka på den här knappen på banderollen högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära CMK-hanteringens väntande status för en viss organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK har skapats ändras statusen i tabellen från väntande CMK-hantering till CMK-hanterad.
13	Om CMK inte kan skapas visas ett fel.

Ta bort klientorganisationer

Innan du börjar

När användare i kundorganisationer har tagits bort kommer de inte att kunna använda HDS för sina krypteringsbehov och förlorar alla befintliga utrymmen. Kontakta din Cisco-partner eller kontoansvarige innan du tar bort kundorganisationer.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du efter Hybrid-datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	Klicka på Tilldelade kunder på sidan som öppnas.
6	I listan över kundorganisationer som visas klickar du på ... till höger om kundorganisationen som du vill ta bort och klickar sedan på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla kundorganisationernas CMK:er enligt beskrivningen i Återkalla CMK:er för klienter som tagits bort från HDS.

Återkalla CMK:er för klienter som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort klientorganisationer. Kör HDS-konfigurationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som har tagits bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Använd en webbläsare för att gå till den lokala värden `http://127.0.0.1:8080` och ange administratörsanvändarnamn för partnerhubben när du uppmanas till det. Verktyget använder den här första posten i användarnamnet för att ställa in rätt miljö för kontot. Verktyget visar sedan standardinloggningsmeddelandet.
7	När du blir ombedd anger du inloggningsuppgifterna för administratören för partnerhubben och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid-datasäkerhet.
8	Klicka på Kom igång på översiktssidan för konfigurationsverktyget.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av klient-CMK där du hittar följande tre sätt att hantera klient-CMK:er. Återkalla CMK för alla ORGANISATIONER eller Återkalla CMK – klicka på den här knappen på banderollen högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallelsen har lyckats visas inte kundorganisationen längre i tabellen.
13	Om CMK-återkallelsen misslyckas visas ett fel.

Testa din datasäkerhetsdistribution för hybrid

Använd denna procedur för att testa Hybrid-datasäkerhetskrypteringsscenarier för flera klienter.

Innan du börjar

Konfigurera din distribution av Hybrid-datasäkerhet för flera klienter.
Se till att du har åtkomst till syslog för att kontrollera att nyckelförfrågningar skickas till din Hybrid-datasäkerhetsdistribution för flera klienter.

1

Nycklar för ett givet utrymme ställs in av utrymmets skapare. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar distributionen av Hybrid-datasäkerhet kommer innehåll i utrymmen som användare skapar inte längre att vara tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att kontrollera att nyckelbegäranden skickas till din distribution av Hybrid-datasäkerhet.

Om du vill kontrollera att en användare först har etablerat en säker kanal till KMS filtrerar du på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som följande (identifierare förkortas för läsbarhet):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Så här söker du efter en användare som begär en befintlig nyckel från KMS filtrerar du på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Om du vill söka efter en användare som begär att en ny KMS-nyckel ska du filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

För att söka efter en användare som begär att ett nytt KMS-resursobjekt (KRO) ska skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Övervaka datasäkerhet för hybrid

En statusindikator i partnerhubben visar om allt är bra med Multi-Tenant-distributionen av Hybrid-datasäkerhet. Registrera dig för e-postaviseringar om du vill ha mer proaktiv avisering. Du meddelas när det finns larm som påverkar tjänsten eller programvaruuppgraderingar.

1	I Partner Hub väljer du Tjänster i menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för Hybrid-datasäkerhet visas.
3	I avsnittet E-postaviseringar skriver du in en eller flera e-postadresser avgränsade med kommatecken och trycker på Retur.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd de uppgifter som beskrivs här för att hantera din distribution av Hybrid-datasäkerhet.

Ställ in schema för klusteruppgradering

Programvaruuppgraderingar för Hybrid-datasäkerhet görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programvaruversion. Uppgraderingar görs enligt klustrets uppgraderingsschema. När en programvaruuppgradering blir tillgänglig har du möjlighet att uppgradera klustret manuellt före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat 3:00 AM Daily USA: Amerika/Los Angeles. Du kan även välja att skjuta upp en kommande uppgradering om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid-datasäkerhet och klickar på Konfigurera
4	Välj klustret på sidan Hybrid-datasäkerhetsresurser.
5	Klicka på fliken Klusterinställningar .
6	Välj tid och tidszon för uppgraderingsschemat under Uppgraderingsschema på sidan Klusterinställningar. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och -tid. Du kan senarelägga uppgraderingen till nästa dag om det behövs genom att klicka på Senarelägg med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning – De gamla och nya lösenorden fungerar båda i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning – De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Konfigurationsprocessen kräver inloggningsuppgifter för ett partnerhubbkonto med fullständiga partneradministratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-konfigurationsverktyget för steg 1.a till 1.e i proceduren nedan. Mer information finns i Kör HDS-konfigurationsverktyg med Podman Desktop .

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariabler när du hämtar Docker-behållaren i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Konfigurationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till lokal värd. Ange inloggningsuppgifterna för din partner Hub-kund när du uppmanas till det och klicka sedan på Godkänn för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. Om du vill stänga av konfigurationsverktyget skriver du `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod igång skapar du en ny VM för datasäkerhetsnod för hybrid och registrerar den med den nya konfigurationsfilen. Mer detaljerade anvisningar finns i Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i partnerhubben.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya ISO-konfigurationsfilen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	Öppna datasäkerhetsnodens gränssnitt för hybrid i en webbläsare (IP-adress/inställning, t.ex. https://192.0.2.0/setup), ange administratörsuppgifterna som du har ställt in för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd denna procedur för att ta bort en datasäkerhetsnod för hybrid från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på datorn för att logga in på den virtuella ESXi-värden och stänga av den virtuella datorn.

2

Ta bort noden:

Logga in på partnerhubben och välj sedan Tjänster.
På kortet Hybrid-datasäkerhet klickar du på Visa alla för att visa sidan Datasäkerhetsresurser för hybrid.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden som du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger
Du kan också avregistrera noden genom att klicka på på nodens högra sida och välja Ta bort den här noden.

3

Ta bort VM i vSphere-klienten. (Högerklicka på VM-datorn och klicka på Ta bort i den vänstra navigeringsrutan.)

Kom ihåg att avmontera ISO-konfigurationsfilen om du inte tar bort VM-datorn. Utan ISO-filen kan du inte använda VM-datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med Standby-datacenter

Den mest kritiska tjänst som ditt Hybrid-datasäkerhetskluster tillhandahåller är att skapa och lagra nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare i organisationen som har tilldelats Hybrid-datasäkerhet dirigeras begäranden om att skapa nya nycklar till klustret. Klustret ansvarar också för att returnera nycklarna som det har skapats till alla användare som har behörighet att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopieringar upprätthålls. Förlust av Hybrid-datasäkerhetsdatabasen eller den ISO-konfiguration som används för schemat leder till OÅTERKALLELIG FÖRLUST av kundinnehåll. Följande metoder är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret inte blir tillgänglig följer du den här proceduren för att manuellt redundans till datacentret i vänteläge.

Innan du börjar

Avregistrera alla noder från partnerhubben enligt beskrivningen i Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i det kluster som tidigare var aktiva för att utföra den redundans som nämns nedan.

1	Starta HDS-konfigurationsverktyget och följ stegen som nämns i Skapa en ISO-konfiguration för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Skydda säkerhetskopian. Den här filen innehåller en huvudkrypteringsnyckel för databasinnehållet. Begränsa åtkomsten till endast de Hybrid-datasäkerhetsadministratörer som bör göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD-enhet 1 och välj ISO-fil för datalager. Se till att Ansluten och Anslut vid påslagning är markerade så att uppdaterade konfigurationsändringar kan börja gälla när noderna har startats.
6	Slå på HDS-noden och se till att det inte finns några larm under minst 15 minuter.
7	Registrera noden i partnerhubben. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i datacentret för vänteläge.

Nästa steg

Efter redundans och om det primära datacentret blir aktivt igen, avregistrera du noderna för datacentret i vänteläge och upprepa processen för att konfigurera ISO och registrera noder för det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standardkonfigurationen för HDS körs med ISO monterad. Vissa kunder föredrar dock att inte lämna ISO-filer monterade hela tiden. Du kan avmontera ISO-filen när alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO på alla dina HDS-noder. När alla noder har hämtat konfigurationsändringarna kan du avmontera ISO igen med den här proceduren.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	Välj HDS-noden i vCenter-serverenheten.
3	Välj Redigera inställningar > CD/DVD-enhet och avmarkera ISO-fil för datalager.
4	Slå på HDS-noden och se till att det inte finns några larm under minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök Hybrid-datasäkerhet

Visa aviseringar och felsökning

En Hybrid-datasäkerhetsdistribution anses inte tillgänglig om alla noder i klustret är oåtkomliga eller om klustret fungerar så långsamt att tidsgränsen begärs. Om användare inte kan nå ditt Hybrid-datasäkerhetskluster får de följande symtom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmetitlar kan inte avkrypteras för:
- Nya användare har lagts till i ett utrymme (det går inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (det går inte att hämta nycklar)
Befintliga användare i ett utrymme fortsätter att köras så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt Hybrid-datasäkerhetskluster korrekt och adresserar eventuella varningar omedelbart för att undvika störningar i tjänsten.

Aviseringar

Om det uppstår ett problem med konfigurationen av hybrid-datasäkerhet visar partnerhubben aviseringar för organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och steg för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Anslutning till lokal databas misslyckades.	Kontrollera att databasservern är tillgänglig och att rätt inloggningsuppgifter för tjänstkontot användes i nodkonfigurationen.
Åtkomstfel för molntjänst.	Kontrollera att noderna har åtkomst till Webex-servrarna enligt Krav för extern anslutning.
Förnyar registrering av molntjänster.	Registreringen till molntjänster har avbrutits. Förnyelse av registrering pågår.
Registreringen av molntjänsten har avbrutits.	Registrering till molntjänster har avslutats. Tjänsten stängs av.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i partnerhubben.
Den konfigurerade domänen matchar inte servercertifikatet.	Kontrollera att servercertifikatet matchar den konfigurerade tjänsteaktiveringsdomänen. Den mest sannolika orsaken är att certifikatets CN nyligen har ändrats och nu skiljer sig från den CN som användes under den första konfigurationen.
Det gick inte att autentisera till molntjänster.	Kontrollera om inloggningsuppgifterna för tjänstekontot är korrekta och eventuellt upphör att gälla.
Det gick inte att öppna den lokala keystore-filen.	Kontrollera integritet och lösenordsnoggrannhet i den lokala keystore-filen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det har utfärdats av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokala nätverksåtkomst till externa molntjänster.
/media/configdrive/hds-katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den har konfigurerats att monteras vid omstart och att den monteras.
Konfigurationen av klientorganisationen är inte slutförd för de tillagda organisationerna	Slutför konfigurationen genom att skapa CMK:er för nyligen tillagda klientorganisationer med hjälp av HDS-konfigurationsverktyget.
Konfigurationen av klientorganisationen har inte slutförts för de borttagna organisationerna	Slutför konfigurationen genom att återkalla CMK:er för klientorganisationer som har tagits bort med HDS-konfigurationsverktyget.

Felsök Hybrid-datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med Hybrid-datasäkerhet.

1	Granska partnerhubben för eventuella aviseringar och fixa alla objekt som du hittar där. Se bilden nedan för referens.
2	Granska syslog-serverns utdata för aktivitet från distributionen av Hybrid-datasäkerhet. Filtrera efter ord som ”Varning” och ”Fel” för att hjälpa till vid felsökning.
3	Kontakta Ciscos support.

Övriga anteckningar

Kända problem med Hybrid-datasäkerhet

Om du stänger av ditt Hybrid-datasäkerhetskluster (genom att ta bort det i partnerhubben eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till keystore-databasen, kan Webex-appanvändare i kundorganisationer inte längre använda utrymmen i sin kontaktlista som har skapats med nycklar från din KMS. Vi har för närvarande ingen tillfällig lösning eller korrigering av det här problemet och uppmanar dig att inte stänga av dina HDS-tjänster när de har hanterat aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till en KMS behåller anslutningen under en tidsperiod (troligen en timme).

Kör HDS-konfigurationsverktyget med Podman-skrivbordet

Podman är ett fritt och öppet verktyg för hantering av containrar som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan hämtas från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Hämta och kör Podman på datorn för att komma åt den. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-konfigurationsverktyget körs bakom en proxy i din miljö ska du ange proxyinställningarna (server, port, inloggningsuppgifter) via Docker-miljövariablerna när du hämtar Docker-behållaren i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO-konfigurationsfilen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen när du gör konfigurationsändringar, som dessa:
- Inloggningsuppgifter för databas
- Certifikatuppdateringar
- Ändringar i behörighetspolicyn
Om du planerar att kryptera databasanslutningar konfigurerar du din PostgreSQL- eller SQL Server-distribution för TLS.

Konfigurationsprocessen för Hybrid-datasäkerhet skapar en ISO-fil. Du kan sedan använda ISO för att konfigurera din Hybrid-datasäkerhetsvärd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfiguration ISO för HDS-värdarna eller Ändra nodkonfiguration för att skapa eller ändra ISO-konfiguration.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för inläsning i HDS-konfigurationsverktyget. Det finns andra sätt att göra detta, och vi stöder inte eller främjar inte det ena sättet över det andra.
Om du väljer att använda OpenSSL tillhandahåller vi denna procedur som vägledning för att hjälpa dig att skapa en fil som uppfyller kraven för X.509-certifikat i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvaran och dokumentationen.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA sparar du det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera informationen. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil som heter `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikat, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord när du uppmanas att kryptera den privata nyckeln så att den listas i utmatningen. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller linjerna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för Hybrid-datasäkerhet. Du kommer att använda hdsnode.p12 filen och lösenordet som du har angett för den i Skapa en konfiguration ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet upphör att gälla.

Trafik mellan HDS-noderna och molnet

Insamlingstrafik för utgående mätvärden

Datasäkerhetsnoderna för hybrid skickar vissa mätvärden till Webex-molnet. Dessa omfattar systemvärden för heap max, använd heap, CPU-belastning och antal trådar, statistik på synkroniserade och asynkrona trådar, statistik på varningar med tröskelvärde för krypteringsanslutningar, latens eller längden på en begäran, statistik på datalager och statistik för krypteringsanslutning. Noderna skickar krypterat nyckelmaterial över en kanal utanför bandet (separat från begäran).

Inkommande trafik

Datasäkerhetsnoderna för hybrid tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket-anslutningar (wss:) som krävs för datasäkerhet för hybrid. Dessa avsnitt ger vägledning om hur du konfigurerar olika versioner av Squid för att ignorera wss: trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till on_unsupported_protocol direktivet i squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi har testat Hybrid-datasäkerhet med följande regler som har lagts till i squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på … till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
För närvarande kan varje HDS-distribution med flera innehavare bara ha ett kluster, med flera noder under det.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 eller 16, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med Network Access Translation (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Molntjänster letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.
4	Du kan också klicka på Se distributionsguide för hybrid datasäkerhet för att kontrollera om det finns en senare version av den här guiden tillgänglig.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnetoch lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `cisco` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp kortet Hybrid Data Security och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Lägg till en nod anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Molntjänster letar du upp kortet Hybrid datasäkerhet och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Klicka på det kluster som du vill att en kund ska tilldelas.
5	Gå till fliken Tilldelade kunder.
6	Klicka på Lägg till kunder.
7	Välj den kund du vill lägga till från rullgardinsmenyn.
8	Klicka på Lägg tillså läggs kunden till i klustret.
9	Upprepa steg 6 till 8 för att lägga till flera kunder i ditt kluster.
10	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder till lämpligt kluster enligt beskrivningen i Lägg till hyresgästorganisationer i partnerhubben. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på … nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På fliken Resurser klickar du på det kluster som du vill ta bort kundorganisationer från.
5	På sidan som öppnas klickar du på Tilldelade kunder.
6	Från listan över kundorganisationer som visas klickar du på ... till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder från lämpligt kluster enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på … nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Molntjänster letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Molntjänster, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När den är aktive rad är blockerad extern DNS-matchning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Ta bort den här noden.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Avregistrera alla noder från Partner Hub enligt Ta bort en nod. Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
3	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
4	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
5	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
6	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
7	Registrera noden i Partner Hub. Se Registrera den första noden i klustret.
8	Upprepa processen för varje nod i standby-datacentret.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, avregistrera noderna i standby-datacentret och upprepa processen för att konfigurera ISO och registrera noder i det primära datacentret enligt ovan.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2021.01.22.4720 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och rumstitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Granska Partner Hub för eventuella varningar och åtgärda eventuella fel du hittar där. Se bilden nedan som referens.
2	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
3	Kontakta Cisco-support.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av ditt Hybrid Data Security-kluster (genom att ta bort det i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort kluster i Control Hub

1	Logga in på kontrollhubben. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på ... till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Molntjänster letar du upp kortet Hybrid Data Security och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Lägg till en nod anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	I Resurserklickar du på det nyskapade klustret.
10	På sidan som öppnas klickar du på fliken Tilldelade kunder.
11	Klicka på Lägg till kunder.
12	Välj den kund du vill lägga till från rullgardinsmenyn.
13	Klicka på Lägg tillså läggs kunden till i klustret.
14	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
15	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökad nyckelanvändning. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 eller 16, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
DNS-servrarna som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänstens huvudnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med nätverksåtkomstöversättning (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Du använder sedan ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din syslog-server konfigurerad för SSL-kryptering?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där noddistributionen för den virtuella maskinen kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och lagringspolicyn för virtuella datorer.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `cisco` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmestitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registrering av molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 eller 16, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med Network Access Translation (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `cisco` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och rumstitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
1 juni 2026	Lade till avsnittet HDS Developer APIs. Lade till en anteckning i avsnittet Kör HDS-installationsverktyget med Podman Desktop.
16 april 2026	Uppdaterade Databasserverkrav för att lägga till stöd för PostgreSQL version 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med nätverksåtkomstöversättning (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på partnerhubben

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden överskrids. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och rumstitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS Setup Tool.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

HDS-utvecklar-API:er

HDS Developer API:er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns tillgängliga på https://developer.webex.com/messaging/docs/api/v1/hds.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
23 juni 2026	Lade till avsnittet Tolka HDS-loggar och förstå agentetiketter.
1 juni 2026	Lade till avsnittet HDS Developer APIs. Lade till en anteckning i avsnittet Kör HDS-installationsverktyget med Podman Desktop.
16 april 2026	Uppdaterade Databasserverkrav för att lägga till stöd för PostgreSQL version 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
De DNS-servrar som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med nätverksåtkomstöversättning (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej—Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tolka HDS-loggar och förstå agentetiketter

HDS-loggar ger detaljerad information om KMS-förfrågningar. Dessa loggar innehåller olika fält som hjälper till att identifiera begäran och den tillhörande identiteten. Att förstå dessa fält är avgörande för att korrekt tolka aktiviteter och tillförlitliga interna operationer.

Terminologi

För att säkerställa tydlighet vid granskning av HDS-loggar är det viktigt att förstå följande termer:

Term	Definition
Tjänstekonto	En tjänstidentitet som gör det möjligt för Webex-tjänster att utföra auktoriserade åtgärder på ett säkert sätt.
Agent	En tjänsteentitet eller tjänstekontoidentitet som används för att utföra automatiserade åtgärder inom HDS-miljön.
Agentetikett	En tagg som ingår i HDS-loggar och som identifierar den specifika källan och typen av en inkommande begäran, vilket möjliggör effektiv granskning av åtkomstkontroll.
Delegerad åtkomst	Ett auktoriserat tjänstkonto som gör en begäran för en specifik användare, inom den användarens behörigheter. Visas som en delegeringsförfrågan: `agent -> userid`.

Termen "Agent" i detta sammanhang hänvisar specifikt till HDS-tjänstidentiteter. Dessa är inte relaterade till de AI-drivna agenter som används i andra Webex-funktioner.

En begäran hanteras endast när den kommer från:

en autentiserad användare i din organisation, eller
ett tjänstkonto som finns i, och är auktoriserat av, din organisation.

Översikt över loggfält

Fält	Vad den representerar
Tidsstämpel	Datum och tid för operationen.
kms.data.metod	Den utförda KMS-operationen (t.ex. hämta).
kms.data.orgld	Organisationsidentifierare.
kms.data.httpUserAgent	Klienten eller tjänsten som gör begäran.
WEBEX_SPÅRNINGS-ID	Unik spårningsidentifierare för begäran.
kms.data.uriHost / kms.data.uri	Värden och resursen som begäran är riktad mot.
kms.data.användarld	Identiteten som utför begäran, inklusive en agentetikett.
kms.response.success	Anger om begäran lyckades.

Förfrågningstyper - Snabbreferens

Tagg i logg	Agentetikett	Vad den representerar	Typiska operationer
Användartyp: userAgent	Användaragent	Ett betrott tjänstkonto kopplat till ett användararbetsflöde, begränsat till din organisation.	Creating/managing nycklar för en användarprocess.
o-agent <id> -> användar-ID <id>	Organisationsagent	Ett betrott tjänstekonto på organisationsnivå som använder delegerad åtkomst.	Compliance officers utvinning av Webex-data, kalenderintegrationer.
c-agent <id> -> användar-ID <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran för en specifik användare.	Virusskanning, förhandsgranskning av innehåll, transkriptioner.
c-agent <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran.	ECDHE / sessionsnycklar.
Slutanvändarens UUID	-	Den autentiserade slutanvändaren som interagerar med HDS.	En användare hämtar sin egen nyckel.

Förfrågningstyper - I detalj

Agentetiketter kategoriserar källan till begäran och hjälper till att fastställa lämpliga åtkomstkontroller. Följande exempel visar flera förfrågningstyper och de agentetiketter som är associerade med dem.

Användaragent (användaragent):

Dessa är betrodda Webex-tjänstkonton som är kopplade till specifika användararbetsflöden och är begränsade till kundorganisationen. De används vanligtvis när en tjänst skapar och hanterar nycklar för ett användararbetsflöde.

Exempellogg:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en användaragent (userAgent) som utför resursinsamlingsåtgärder för en Webex-tjänst.
Organisationsagent (o-agent):

Dessa betrodda Webex-tjänstkonton är auktoriserade att utföra delegerade åtgärder för användares räkning inom HDS. Dessa konton är kopplade till kundorganisationen och utför åtgärder på organisationsnivå. Den här funktionen stöder flera funktioner, till exempel att göra det möjligt för efterlevnadsansvariga att söka och extrahera Webex-kommunikationsdata – vilket säkerställer organisationens anpassning till regelverk, säkerhet och datasekretessstandarder.

Exempellogg:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en organisationsagent (o-agent 9[~]c) som hämtar en nyckel för användarens (4[~]b) räkning för en Webex-tjänst.
Molnagent (c-agent):
Dessa betrodda Webex-tjänstkonton är behöriga att utföra åtgärder på HDS via delegerad åtkomst för en användares räkning. De stöder viktiga funktioner – som inspelningar efter möten, transkriptioner, skanning efter skadlig kod och förhandsgranskningar av filer – som förbättrar den övergripande användarupplevelsen.

Även om molnagenter kan inaktiveras genom att ändra ISO-filen, bör kunder vara medvetna om att detta kommer att resultera i förlust av funktioner, till exempel transkriptioner av mötesinspelningar eller automatiserad skanning efter skadlig kod.

Exempellogg:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en molnagent (c-agent b[~]c) som hämtar en innehållsnyckel för användarens (9[~]c) räkning.

Direkt interaktion med slutanvändaren:

En autentiserad användare interagerar direkt med HDS.

Exempellogg:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Nyckelindikator: Exempelloggen visar en slutanvändare (c[~]f) som hämtar en nyckel och interagerar direkt med HDS.

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och utrymmestitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registrering av molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

HDS-utvecklar-API:er

HDS Developer API:er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns tillgängliga på https://developer.webex.com/messaging/docs/api/v1/hds.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Så här distribuerar du hybrid datasäkerhet för flera hyresgäster:

Partnerorganisationer: Kontakta din Cisco-partner eller kontoansvariga och se till att funktionen för flera hyresgäster är aktiverad.
Hyresgästorganisationer: Du måste ha Pro Pack för Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)

Krav för Docker-skrivbordet

Innan du installerar dina HDS-noder behöver du Docker Desktop för att köra ett installationsprogram. Docker har nyligen uppdaterat sin licensmodell. Din organisation kan kräva en betald prenumeration på Docker Desktop. Mer information finns i Docker-blogginlägget " Docker uppdaterar och utökar våra produktprenumerationer".

Kunder utan Docker Desktop-licens kan använda ett verktyg för containerhantering med öppen källkod, som Podman Desktop, för att köra, hantera och skapa containrar. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Krav för X.509-certifikat

Certifikatkedjan måste uppfylla följande krav:

Tabell 1. X.509-certifikatkrav för hybrid datasäkerhetsdistribution
Krav	Detaljer
Signerad av en betrodd certifikatutfärdare (CA)	Som standard litar vi på certifikatutfärdarna i Mozilla-listan (med undantag för WoSign och StartCom) på https://wiki.mozilla.org/CA:IncludedCAs.
Har ett Common Name (CN)-domännamn som identifierar din Hybrid Data Security-distribution Är inte ett jokerteckencertifikat	KN:n behöver inte vara nåbar eller en livevärd. Vi rekommenderar att du använder ett namn som återspeglar din organisation, till exempel `hds.company.com`. KN-numret får inte innehålla en * (jokertecken). CN används för att verifiera hybriddatasäkerhetsnoderna till Webex-appklienter. Alla Hybrid Data Security-noder i ditt kluster använder samma certifikat. Ditt KMS identifierar sig med hjälp av CN-domänen, inte någon domän som definieras i x.509v3 SAN-fälten. När du väl har registrerat en nod med detta certifikat stöder vi inte ändring av CN-domännamnet.
Icke-SHA1-signatur	KMS-programvaran stöder inte SHA1-signaturer för att validera anslutningar till andra organisationers KMS:er.
Formaterad som ett lösenordsskyddat PKCS #12 fil Använd det vänliga namnet `kms-private-key` för att tagga certifikatet, den privata nyckeln och eventuella mellanliggande certifikat som ska laddas upp.	Du kan använda en konverterare som OpenSSL för att ändra formatet på ditt certifikat. Du måste ange lösenordet när du kör HDS Setup Tool.

KMS-programvaran tillämpar inte begränsningar för nyckelanvändning eller utökade nyckelanvändningar. Vissa certifikatutfärdare kräver att utökade nyckelanvändningsbegränsningar tillämpas på varje certifikat, till exempel serverautentisering. Det är okej att använda serverautentisering eller andra inställningar.

Krav för virtuella värdar

De virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster har följande krav:

Minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter
VMware ESXi 7.0 eller 8.0 installerat och körs.

Du måste uppgradera om du har en tidigare version av ESXi.
Minst 4 vCPU:er, 8 GB primärminne, 30 GB lokal hårddiskutrymme per server

Krav för databasserver

Skapa en ny databas för nyckellagring. Använd inte standarddatabasen. HDS-applikationerna skapar databasschemat när de är installerade.

Det finns två alternativ för databasservern. Kraven för var och en är följande:

Tabell 2. Krav för databasserver efter databastyp
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 eller 18, installerat och igång.	SQL Server 2016, 2017, 2019 eller 2022 (Enterprise eller Standard) installerat. SQL Server 2016 kräver Service Pack 2 och Cumulative Update 2 eller senare.
Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)	Minst 8 vCPU:er, 16 GB primärminne, tillräckligt med hårddiskutrymme och övervakning för att säkerställa att det inte överskrids (2 TB rekommenderas om du vill köra databasen under en längre tid utan att behöva öka lagringsutrymmet)

HDS-programvaran installerar för närvarande följande drivrutinsversioner för kommunikation med databasservern:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-drivrutin 42.2.5

SQL Server JDBC-drivrutin 4.6

Den här drivrutinsversionen stöder SQL Server Always On ( Always On Failover Cluster Instances och Always On tillgänglighetsgrupper).

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Om du vill att HDS-noder ska använda Windows-autentisering för att få åtkomst till din nyckeldatabas på Microsoft SQL Server behöver du följande konfiguration i din miljö:

HDS-noderna, Active Directory-infrastrukturen och MS SQL Server måste alla synkroniseras med NTP.
Windows-kontot du anger till HDS-noder måste ha read/write åtkomst till databasen.
DNS-servrarna som du tillhandahåller HDS-noder måste kunna matcha ditt nyckeldistributionscenter (KDC).
Du kan registrera HDS-databasinstansen på din Microsoft SQL Server som ett Service Principal Name (SPN) i din Active Directory. Se Registrera ett tjänsteprincipalnamn för Kerberos-anslutningar.

HDS-installationsverktyget, HDS-startprogrammet och det lokala KMS-systemet måste alla använda Windows-autentisering för att komma åt nyckeldatabasen. De använder informationen från din ISO-konfiguration för att konstruera SPN när de begär åtkomst med Kerberos-autentisering.

Krav för extern anslutning

Konfigurera din brandvägg för att tillåta följande anslutning för HDS-applikationerna:

Program	Protokoll	Port	Vägbeskrivning från appen	Destination
Hybrida datasäkerhetsnoder	TCP	443	Utgående HTTPS och WSS	Webex-servrar: .wbx2.com .ciscospark.com Alla Common Identity-värdar Andra URL:er som listas för Hybrid Data Security i tabellen Ytterligare URL:er för Webex Hybrid Services i Nätverkskrav för Webex Services
HDS-installationsverktyg	TCP	443	Utgående HTTPS	*.wbx2.com Alla Common Identity-värdar hub.docker.com

Hybrid Data Security-noderna fungerar med Network Access Translation (NAT) eller bakom en brandvägg, så länge som NAT:en eller brandväggen tillåter de utgående anslutningar som krävs till domändestinationerna i föregående tabell. För anslutningar som går in till Hybrid Data Security-noderna bör inga portar vara synliga från internet. Inom ditt datacenter behöver klienter åtkomst till Hybrid Data Security-noderna på TCP-portarna 443 och 22 för administrativa ändamål.

URL:erna för CI-värdarna (Common Identity) är regionspecifika. Dessa är de nuvarande CI-värdarna:

Region	Vanliga identitetsvärd-URL:er
Nord- och Sydamerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europeiska unionen	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Förenade Arabemiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Proxy Server krav

Vi har officiellt stöd för följande proxyservrar som kan integreras med dina säkerhetsnoder för Hybrid.
- Transparent proxy – Cisco webb säkerhetsutrustning (WSA).
- Explicit proxy – squid.
  
  Squid-proxyservrar som inspekterar HTTPS-trafik kan störa etableringen av websocket (wss:) anslutningar. För att undvika problemet, se Konfigurera Squid-proxyservrar för hybriddatasäkerhet.
Vi har stöd för följande typer av autentiseringsmetoder för uttryckliga proxyservrar:
- Ingen autentisering med HTTP eller HTTPS
- Grundläggande autentisering med HTTP eller HTTPS
- Digest-autentisering med endast HTTPS
För en öppen proxy eller en HTTPS-proxy måste du ha en kopia av proxyns rotcertifikat. Installations anvisningarna i den här hand ledningen beskriver hur du överför kopian till hybrid Data Security-nodernas betrodda platser.
Nätverket som är värd för HDS-noderna måste vara konfigurerade för att tvinga utgående TCP-trafik på port 443 för att dirigera genom proxyn.
Proxyservrar som undersöker webb trafik kan störa webb anslutningarna. Om det här problemet uppstår, löser man problemet genom att kringgå (utan att inspektera) trafik till wbx2.com och ciscospark.com.

Slutför förutsättningarna för hybrid datasäkerhet

Använd den här checklistan för att säkerställa att du är redo att installera och konfigurera ditt Hybrid Data Security-kluster.

1	Se till att din partnerorganisation har funktionen för flera hyresgäster med HDS aktiverad och hämta autentiseringsuppgifterna för ett konto med fullständig partneradministratörsrättighet och administratörsrättigheter. Se till att din Webex-kundorganisation är aktiverad för Pro Pack för Cisco Webex Control Hub. Kontakta din Cisco-partner eller kontoansvariga för hjälp med den här processen. Kundorganisationer bör inte ha någon befintlig HDS-distribution.
2	Välj ett domännamn för din HDS-distribution (till exempel `hds.company.com`) och hämta en certifikatkedja som innehåller ett X.509-certifikat, en privat nyckel och eventuella mellanliggande certifikat. Certifikatkedjan måste uppfylla kraven i X.509-certifikatkrav.
3	Förbered identiska virtuella värdar som du kommer att konfigurera som hybriddatasäkerhetsnoder i ditt kluster. Du behöver minst två separata värdar (3 rekommenderas) samlokaliserade i samma säkra datacenter, som uppfyller kraven i Krav för virtuella värdar.
4	Förbered databasservern som ska fungera som nyckeldatalagring för klustret, enligt Databasserverkrav. Databasservern måste vara samlokaliserad i det säkra datacentret med de virtuella värdarna. Skapa en databas för nyckellagring. (Du måste skapa den här databasen – använd inte standarddatabasen.) HDS-applikationerna skapar databasschemat när de är installerade.) Samla in de uppgifter som noderna ska använda för att kommunicera med databasservern: värdnamnet eller IP-adressen (värd) och porten namnet på databasen (dbname) för nyckellagring användarnamnet och lösenordet för en användare med alla behörigheter på nyckellagringsdatabasen
5	För snabb katastrofåterställning, konfigurera en säkerhetskopieringsmiljö i ett annat datacenter. Säkerhetskopieringsmiljön speglar produktionsmiljön för virtuella maskiner och en säkerhetskopieringsdatabasserver. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner.
6	Konfigurera en syslog-värd för att samla in loggar från noderna i klustret. Samla in dess nätverksadress och syslogport (standard är UDP 514).
7	Skapa en säker säkerhetskopieringspolicy för Hybrid Data Security-noderna, databasservern och syslog-värden. För att förhindra oåterställbar dataförlust måste du som ett minimum säkerhetskopiera databasen och den ISO-konfigurationsfil som genererats för Hybrid Data Security-noderna. Eftersom hybriddatasäkerhetsnoderna lagrar nycklarna som används vid kryptering och dekryptering av innehåll, kommer misslyckande med att upprätthålla en operativ distribution att resultera i OUTERHÄMTNINGSBAR FÖRLUST av innehållet. Webex-appklienter cachar sina nycklar, så ett avbrott kanske inte märks omedelbart men kommer att bli uppenbart med tiden. Även om tillfälliga avbrott är omöjliga att förhindra, är de återställbara. Emellertid kommer fullständig förlust (inga säkerhetskopior tillgängliga) av antingen databasen eller konfigurations-ISO-filen att resultera i oåterställbara kunddata. Operatörerna av Hybrid Data Security-noderna förväntas upprätthålla regelbundna säkerhetskopior av databasen och ISO-konfigurationsfilen, och vara beredda att återuppbygga Hybrid Data Security-datacentret om ett katastrofalt fel inträffar.
8	Se till att din brandväggskonfiguration tillåter anslutning för dina Hybrid Data Security-noder enligt beskrivningen i Krav för extern anslutning.
9	Installera Docker ( https://www.docker.com) på valfri lokal maskin som kör ett operativsystem som stöds (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller senare) med en webbläsare som kan komma åt det på http://127.0.0.1:8080. Du använder Docker-instansen för att ladda ner och köra HDS Setup Tool, som skapar den lokala konfigurationsinformationen för alla Hybrid Data Security-noder. Du kan behöva en Docker Desktop-licens. Se Krav för Docker Desktop för mer information. För att installera och köra HDS Setup Tool måste den lokala maskinen ha den anslutning som beskrivs i Krav för extern anslutning.
10	Om du integrerar en proxy med Hybrid Data Security, se till att den uppfyller Krav för proxyserver.

Ny och ändrad information

Den här tabellen täcker nya funktioner eller funktionalitet, ändringar av befintligt innehåll och eventuella större fel som har åtgärdats i Distributionsguiden för hybriddatasäkerhet för flera hyresgäster.

Datum	Gjorda ändringar
2 juli 2026	Lade till avsnittet Inaktivera molnagenter.
23 juni 2026	Lade till avsnittet Tolka HDS-loggar och förstå agentetiketter.
1 juni 2026	Lade till avsnittet HDS Developer APIs. Lade till en anteckning i avsnittet Kör HDS-installationsverktyget med Podman Desktop.
16 april 2026	Uppdaterade Databasserverkrav för att lägga till stöd för PostgreSQL version 17 och 18.
25 mars 2026	Uppdaterade standardlösenordet som används för att logga in på den virtuella datorn Hybrid Data Security-noden.
5 december 2025	Uppdaterade Skapade en konfigurations-ISO för HDS-värdarna med korrekt UI-text på sidan Systemloggar och lade till en instruktion för att ladda upp syslog-rotcertifikat vid konfigurering av TLS-kryptering.
21 november 2025	Lade till avsnittet Vanliga frågor. Lade till avsnitten Konfigurera standby-datacenter för katastrofåterställning och Katastrofåterställning med hjälp av standby-datacenter. Borttagen (Beta) från titeln på distributionsguiden.
8 maj 2025	Lade till Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i avsnittet Partner Hub. Uppdaterade syslog-utdata för att förbättra läsbarheten i avsnittet Testa din hybriddatasäkerhetsdistribution. Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS Host OVA för att lägga till stöd för ESXi 8.0.
4 mars 2025	Lade till avsnittet Kör HDS-installationsverktyget med Podman Desktop. Lade till en anmärkning i Docker Desktop Requirements som ger kunderna ett alternativ med öppen källkod. Uppdaterade Skapa en konfigurations-ISO för HDS-värdarna och Ändra nodkonfigurationen med instruktioner för att använda Podman Desktop för kunder utan Docker Desktop-licens.
30 januari 2025	Lade till SQL Server version 2022 i listan över SQL-servrar som stöds i Krav för databasserver.
15 januari 2025	Lade till Begränsningar för hybriddatasäkerhet med flera hyresgäster.
8 januari 2025	Lade till en anmärkning i Utför initial installation och ladda ner installationsfiler som anger att det är ett viktigt steg i installationsprocessen att klicka på Konfigurera på HDS-kortet i Partner Hub.
7 januari 2025	Uppdaterade Krav för virtuella värdar, Aktivitetsflöde för distribution av hybriddatasäkerhetoch Installera HDS-värdens OVA för att visa de nya kraven för ESXi 7.0.
13 december 2024	Först publicerad.

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Följ dessa steg för att helt inaktivera HDS med flera hyresgäster.

Innan du börjar

Denna uppgift bör endast utföras av en fullständig Partner-administratör.

1	Ta bort alla kunder från alla dina kluster, som nämns i Ta bort hyresgästorganisationer.
2	Återkalla CMK:er för alla kunder, som nämns i Återkalla CMK:er för hyresgäster som tagits bort från HDS..
3	Ta bort alla noder från alla dina kluster, som nämns i Ta bort en nod.
4	Ta bort alla dina kluster från Partner Hub med hjälp av en av följande två metoder. Klicka på det kluster du vill ta bort och välj Ta bort detta kluster i det övre högra hörnet av översiktssidan. På sidan Resurser klickar du på till höger om ett kluster och väljer Ta bort kluster.
5	Klicka på fliken Inställningar på översiktssidan för hybriddatasäkerhet och klicka på Inaktivera HDS på HDS-statuskortet.

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

S: Kundens huvudnycklar (CMK) lagras i databasen och krypteras med huvudnyckeln, som lagras i ISO-filen.

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

S: Nej. Varje kundorganisations data krypteras med sin egen CMK (kundhuvudnyckel).

F. Vad händer om jag inaktiverar HDS från Partner Hub?

S: Vissa åtgärder, som att skapa ett utrymme och schemalägga möten, kommer att påverkas omedelbart. Befintligt innehåll i utrymmen kommer att vara tillgängligt tills den lokala cachen löper ut. Efter 24 timmar kommer användare som hanteras av partnern att byta till Cloud KMS, och problem kan uppstå med tidigare skapade utrymmen och enskilda utrymmen.

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

S: Det kan vara en maximal fördröjning på 24 timmar för molncachen att uppdateras.

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

S: Detta innebär vanligtvis att det inte finns några kundorganisationer som uppfyller Cisco Webex-licenskraven.

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

S: Åtgärder som att skapa utrymmen och schemalägga möten påverkas omedelbart. Befintligt innehåll är endast tillgängligt tills den lokala cachen löper ut.

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

S. Ja. För närvarande är partnerorganisationens användardata krypterade med huvudnyckeln. I framtiden kommer partnerorganisationer att ha partnerspecifika nycklar, liknande kundernas CMK:er.

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

S. Ja. Partner- och hyresgästorganisationer kan vara belägna i olika geografiska regioner.

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

S: Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

S: Nej, detta stöds inte för närvarande. Stöd för den här funktionen är planerat för framtiden.

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

S: Logga in på Partnerhubben. Gå till Tjänster > Hybrid datasäkerhet > Inställningar . Om HDS-status är aktiverad använder användare i partnerorganisationen såväl som tilldelade kunder HDS med flera hyresgäster.

Alternativt kan du kontrollera dina sysloggar för att verifiera att HDS är aktiverat. Se Testa din hybriddatasäkerhetsdistribution.

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

S. Ja. Podman Desktop är ett öppen källkodsalternativ till Docker Desktop. Se Kör HDS-installationsverktyget med Podman Desktop.

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

S: Vi rekommenderar minst två noder och högst 1000.

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

S: Se Krav för extern anslutning.

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

S: Nej. Pro Pack är inte ett krav för partnerorganisationer. Kontakta din Cisco-partner eller kontoansvariga för hjälp med att konfigurera Multi-Tenant HDS.

F. Stöds HSM i HDS med flera hyresgäster?

S: Nej, för närvarande stöder inte Multi-Tenant HDS HSM.

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

S: Nej. HDS för flera hyresgäster kräver ett certifikat som hämtats från en betrodd certifikatutfärdare som uppfyller alla krav som anges i X.509-certifikatkrav.

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

S: Nej. ISO-filen behöver bara monteras när ISO-konfigurationer ändras. När du lägger till en ny kund i Partner Hub, se till att du kan skapa CMK:er med hjälp av HDS-installationsverktyget. Se Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget.

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

S: Användare kommer endast att börja använda lokala KMS för nyckelhantering efter att HDS har aktiverats i Partner Hub.

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Från dag ett har datasäkerhet varit det primära fokuset vid utformningen av Webex-appen. Hörnstenen i denna säkerhet är innehållskryptering från början till slut, som aktiveras av Webex-appklienter som interagerar med nyckelhanteringstjänsten (KMS). KMS ansvarar för att skapa och hantera krypteringsnycklarna som klienter använder för att dynamiskt kryptera och dekryptera meddelanden och filer.

Som standard får alla Webex-appkunder end-to-end-kryptering med dynamiska nycklar lagrade i moln-KMS, i Ciscos säkerhetsmiljö. Hybrid-datasäkerhet flyttar KMS och andra säkerhetsrelaterade funktioner till ditt företagsdatacenter så ingen annan än du har nycklarna till ditt krypterade innehåll.

Hybrid datasäkerhet för flera hyresgäster gör det möjligt för organisationer att utnyttja HDS genom en betrodd lokal partner, som kan agera som tjänsteleverantör och hantera lokal kryptering och andra säkerhetstjänster. Den här konfigurationen gör det möjligt för partnerorganisationen att ha fullständig kontroll över distribution och hantering av krypteringsnycklar och säkerställer att kundorganisationernas användardata är skyddade från extern åtkomst. Partnerorganisationer konfigurerar HDS-instanser och skapar HDS-kluster efter behov. Varje instans kan stödja flera kundorganisationer till skillnad från en vanlig HDS-distribution som är begränsad till en enda organisation.

Även om partnerorganisationer har kontroll över distribution och hantering, har de inte tillgång till data och innehåll som genereras av kunder. Denna åtkomst är begränsad till kundorganisationer och deras användare.

Detta gör det också möjligt för mindre organisationer att utnyttja HDS, eftersom nyckelhanteringstjänster och säkerhetsinfrastruktur som datacenter ägs av den betrodda lokala partnern.

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Användargenererat innehåll är skyddat från extern åtkomst, som från molntjänstleverantörer.
Lokala betrodda partners hanterar krypteringsnycklarna för kunder som de redan har en etablerad relation med.
Möjlighet till lokal teknisk support, om partnern tillhandahåller detta.
Stöder möten, meddelanden och samtalsinnehåll.

Detta dokument syftar till att hjälpa partnerorganisationer att konfigurera och hantera kunder under ett hybridsystem för datasäkerhet med flera hyresgäster.

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Partnerorganisationer får inte ha någon befintlig HDS-distribution aktiv i Control Hub.
Hyresgäst- eller kundorganisationer som vill hanteras av en partner får inte ha någon befintlig HDS-distribution i Control Hub.
När Multi-Tenant HDS har driftsatts av partnern börjar alla användare av kundorganisationer samt användare av partnerorganisationen använda Multi-Tenant HDS för sina krypteringstjänster.

Partnerorganisationen och kundorganisationerna som de hanterar kommer att finnas på samma HDS-distribution med flera hyresgäster.

Partnerorganisationen kommer inte längre att använda moln-KMS efter att Multi-Tenant HDS har distribuerats.
Det finns ingen mekanism för att flytta nycklar tillbaka till Cloud KMS efter en HDS-distribution.
Administratörsroller har vissa begränsningar; se avsnittet nedan för mer information.

Roller inom hybrid datasäkerhet med flera hyresgäster

Fullständig partneradministratör - Kan hantera inställningar för alla kunder som partnern hanterar. Kan även tilldela administratörsroller till befintliga användare i organisationen och tilldela specifika kunder som ska hanteras av partneradministratörer.
Partneradministratör – Kan hantera inställningar för kunder som administratören har etablerat eller som har tilldelats användaren.
Fullständig administratör - Administratör för partnerorganisationen som är behörig att utföra uppgifter som att ändra organisationsinställningar, hantera licenser och tilldela roller.

Installation och hantering av HDS för flera hyresgäster från hela linjen för alla kundorganisationer - Fullständig partneradministratör och fullständiga administratörsrättigheter krävs.
Hantering av tilldelade hyresgästorganisationer - Partneradministratör och fullständiga administratörsrättigheter krävs.

Arkitektur inom säkerhetsområdet

Webex molnarkitektur separerar olika typer av tjänster i separata domäner, eller förtroendedomäner, som visas nedan.

För att ytterligare förstå hybrid datasäkerhet, låt oss först titta på detta rena molnfall, där Cisco tillhandahåller alla funktioner inom sina molnområden. Identitetstjänsten, den enda platsen där användare direkt kan korreleras med sin personliga information, såsom e-postadress, är logiskt och fysiskt separerad från säkerhetsområdet i datacenter B. Båda är i sin tur separerade från området där krypterat innehåll slutligen lagras, i datacenter C.

I det här diagrammet är klienten Webex-appen som körs på en användares bärbara dator och har autentiserats med identitetstjänsten. När användaren skriver ett meddelande att skicka till ett utrymme sker följande steg:

Klienten upprättar en säker anslutning med nyckelhanteringstjänsten (KMS) och begär sedan en nyckel för att kryptera meddelandet. Den säkra anslutningen använder ECDH, och KMS krypterar nyckeln med en AES-256-huvudnyckel.
Meddelandet krypteras innan det lämnar klienten. Klienten skickar den till indexeringstjänsten, som skapar krypterade sökindex för att underlätta framtida sökningar efter innehållet.
Det krypterade meddelandet skickas till efterlevnadstjänsten för efterlevnadskontroller.
Det krypterade meddelandet lagras i lagringsområdet.

När du distribuerar Hybrid Data Security flyttar du säkerhetsfunktionerna (KMS, indexering och efterlevnad) till ditt lokala datacenter. De andra molntjänsterna som utgör Webex (inklusive identitets- och innehållslagring) ligger fortfarande inom Ciscos område.

Samarbete med andra organisationer

Användare i din organisation kan regelbundet använda Webex-appen för att samarbeta med externa deltagare i andra organisationer. När en av dina användare begär en nyckel för ett utrymme som ägs av din organisation (eftersom det skapades av en av dina användare) skickar ditt KMS nyckeln till klienten via en ECDH-säkrad kanal. Men när en annan organisation äger nyckeln för utrymmet, dirigerar din KMS begäran ut till Webex-molnet via en separat ECDH-kanal för att hämta nyckeln från lämplig KMS, och returnerar sedan nyckeln till din användare på den ursprungliga kanalen.

KMS-tjänsten som körs på organisation A validerar anslutningarna till KMS:er i andra organisationer med hjälp av x.509 PKI-certifikat. Se Förbered din miljö för information om hur du genererar ett x.509-certifikat som ska användas med din distribution av hybriddatasäkerhet för flera hyresgäster.

Förväntningar för implementering av hybrid datasäkerhet

En hybrid datasäkerhetsimplementering kräver betydande engagemang och en medvetenhet om de risker som följer med att äga krypteringsnycklar.

För att driftsätta hybrid datasäkerhet måste du tillhandahålla:

Ett säkert datacenter i ett land som stöds av Cisco Webex Teams-abonnemangen.
Utrustningen, programvaran och nätverksåtkomsten som beskrivs i Förbered din miljö.

Fullständig förlust av antingen konfigurations-ISO:n som du skapar för Hybrid Data Security eller databasen som du tillhandahåller kommer att resultera i förlust av nycklarna. Nyckelförlust hindrar användare från att dekryptera utrymmesinnehåll och annan krypterad data i Webex-appen. Om detta händer kan du bygga en ny distribution, men endast nytt innehåll kommer att synas. För att undvika förlust av åtkomst till data måste du:

Hantera säkerhetskopiering och återställning av databasen och konfigurations-ISO:n.
Var beredd att utföra snabb katastrofåterställning om en katastrof inträffar, till exempel ett diskfel i databasen eller en datacenterkatastrof.

Det finns ingen mekanism för att flytta nycklar tillbaka till molnet efter en HDS-distribution.

Övergripande installationsprocess

Det här dokumentet beskriver installation och hantering av en hybrid datasäkerhetsdistribution med flera hyresgäster:

Konfigurera hybrid datasäkerhet— Detta inkluderar att förbereda nödvändig infrastruktur och installera hybrid datasäkerhetsprogramvara, bygga ett HDS-kluster, lägga till hyresgästorganisationer i klustret och hantera deras kundhuvudnycklar (CMK). Detta gör det möjligt för alla användare i dina kundorganisationer att använda ditt hybriddatasäkerhetskluster för säkerhetsfunktioner.

Installations-, aktiverings- och hanteringsfaserna behandlas i detalj i de kommande tre kapitlen.
Underhåll din hybriddatasäkerhetsdistribution— Webex-molnet tillhandahåller automatiskt kontinuerliga uppgraderingar. Er IT-avdelning kan tillhandahålla support på nivå ett för denna implementering och anlita Cisco-support vid behov. Du kan använda aviseringar på skärmen och konfigurera e-postbaserade aviseringar i Partner Hub.
Förstå vanliga varningar, felsökningssteg och kända problem— Om du stöter på problem med att distribuera eller använda Hybrid Data Security kan det sista kapitlet i den här guiden och bilagan Kända problem hjälpa dig att identifiera och åtgärda problemet.

Hybrid datasäkerhetsdistributionsmodell

Inom ditt företagsdatacenter distribuerar du Hybrid Data Security som ett enda kluster av noder på separata virtuella värdar. Noderna kommunicerar med Webex-molnet via säkra websockets och säker HTTP.

Under installationsprocessen förser vi dig med OVA-filen för att konfigurera den virtuella enheten på de virtuella datorer som du tillhandahåller. Du använder HDS-installationsverktyget för att skapa en anpassad ISO-fil för klusterkonfiguration som du monterar på varje nod. Hybrid Data Security-klustret använder din angivna Syslogd-server och PostgreSQL- eller Microsoft SQL Server-databas. (Du konfigurerar Syslogd och databasanslutningsdetaljer i HDS-installationsverktyget.)

Hybrid datasäkerhetsdistributionsmodell

Det minsta antalet noder du kan ha i ett kluster är två. Vi rekommenderar minst tre per kluster. Att ha flera noder säkerställer att tjänsten inte avbryts under en programuppgradering eller annan underhållsaktivitet på en nod. (Webex-molnet uppgraderar bara en nod åt gången.)

Alla noder i ett kluster har åtkomst till samma nyckeldatalager och loggar aktivitet till samma syslog-server. Noderna själva är tillståndslösa och hanterar viktiga förfrågningar i round-robin-stil, enligt anvisningar från molnet.

Noder blir aktiva när du registrerar dem i Partner Hub. För att ta en enskild nod ur drift kan du avregistrera den och senare registrera om den om det behövs.

Standby-datacenter för katastrofåterställning

Under driftsättningen konfigurerar du ett säkert reservdatacenter. I händelse av en datacenterkatastrof kan du manuellt överföra din distribution till reservdatacentret.

Databaserna för de aktiva och standby-datacentren är synkroniserade med varandra vilket minimerar den tid det tar att utföra redundansväxlingen.

De aktiva Hybrid Data Security-noderna måste alltid finnas i samma datacenter som den aktiva databasservern.

Konfigurera ett reservdatacenter för katastrofåterställning

Följ stegen nedan för att konfigurera ISO-filen för standby-datacentret:

Innan du börjar

Standby-datacentret bör spegla produktionsmiljön för virtuella maskiner och en säkerhetskopia av PostgreSQL- eller Microsoft SQL Server-databas. Om produktionen till exempel har 3 virtuella maskiner som kör HDS-noder, bör säkerhetskopieringsmiljön ha 3 virtuella maskiner. (Se Standby-datacenter för katastrofåterställning för en översikt över denna redundansmodell.)
Se till att databassynkronisering är aktiverad mellan databasen för aktiva och passiva klusternoder.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att placera noden i passivt läge. I det här läget kommer noden att vara registrerad i organisationen och ansluten till molnet, men kommer inte att hantera någon trafik. `passiveMode: 'true'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera sysloggarna för att verifiera att noderna är i passivt läge. Du borde kunna se meddelandet "KMS konfigurerat i passivt läge" i sysloggarna.

Nästa steg

Efter att du har konfigurerat passiveMode i ISO-filen och sparat den kan du skapa en annan kopia av ISO-filen utan passiveMode -konfigurationen och spara den på en säker plats. Denna kopia av ISO-filen utan passiveMode konfigurerad kan underlätta en snabb redundansväxlingsprocess under katastrofåterställning. Se Katastrofåterställning med Standby Data Center för den detaljerade redundansövergångsproceduren.

Proxy-Support

Hybrid-datasäkerhet stöder uttryckliga, genomskinliga inspektioner och icke-inspekterande proxy. Du kan knyta dessa proxyservrar till din distribution så att du kan säkra och övervaka trafik från företaget till molnet. Du kan använda ett plattforms administratörs gränssnitt på noderna för certifikathantering och kontrol lera anslutnings status när du har ställt in proxyn på noderna.

Datanoderna för Hybrid har stöd för följande proxyinställningar:

Ingen proxy— Standardinställningen om du inte använder HDS-nodens Trust Store-inställningar & Proxykonfiguration för att integrera en proxy. Ingen certifikat uppdatering krävs.
Transparent icke-inspekterande proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs.
Transparent tunnling eller inspektion av proxy— Noderna är inte konfigurerade för att använda en specifik proxyserveradress. Inga HTTP-eller HTTPS-konfigurationsinställningar behöver ändras på noderna. Noderna behöver dock en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS).
Explicit proxy— Med explicit proxy anger du för HDS-noderna vilken proxyserver och autentiseringsschema som ska användas. För att konfigurera en uttrycklig proxy måste du ange följande information för varje nod:
1. Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen.
2. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik.
3. Proxyprotokoll—Beroende på vad din proxyserver stöder kan du välja mellan följande protokoll:
  - HTTP – Visa och kontrol lera alla förfrågningar som klienten skickar.
  - HTTPS – tillhandahåller en kanal till servern. Klienten får och validerar serverns certifikat.
4. Autentiseringstyp— Välj bland följande autentiseringstyper:
  - Ingen—Ingen ytterligare autentisering krävs.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
  - Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning.
    
    Tillgängligt om du väljer HTTP eller HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.
  - Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket.
    
    Endast tillgängligt om du har valt HTTPS som proxy-protokoll.
    
    Kräver att du anger användarnamn och lösen ordet för varje nod.

Exempel på data säkerhets noder och proxy för Hybrid

Det här diagrammet visar en exempel anslutning mellan hybrid data säkerhet, nätverk och en proxy. För transparent inspektion och HTTPS-kontroll av proxyinställningarna måste samma rotcertifikat installeras på proxyn och på Hybrid data säkerhets noder.

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. I distributioner med explicita proxy-konfigurationer som inte tillåter extern DNS-matchning för interna klienter, och noden inte kan fråga DNS-servrarna, skickas den automatiskt till blockerad extern DNS-resolution. I det här läget kan registrerings-och andra proxy-anslutnings test fortsätta.

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Innan du börjar

1	Utför den första installationen och ladda ner installationsfilerna Ladda ner OVA-filen till din lokala dator för senare användning.
2	Skapa en konfigurations-ISO för HDS-värdarna Använd HDS-installationsverktyget för att skapa en ISO-konfigurationsfil för Hybrid Data Security-noderna.
3	Installera HDS Host OVA Skapa en virtuell maskin från OVA-filen och utför den initiala konfigurationen, till exempel nätverksinställningar. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
4	Konfigurera den virtuella hybriddatasäkerhetsdatorn Logga in på VM-konsolen och ange inloggningsuppgifterna. Konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.
5	Ladda upp och montera HDS-konfigurations-ISO:n Konfigurera den virtuella datorn från ISO-konfigurationsfilen som du skapade med HDS-installationsverktyget.
6	Konfigurera HDS-noden för proxy-integrering Om nätverksmiljön kräver proxykonfiguration anger du vilken typ av proxy som du ska använda för noden och lägger till proxycertifikatet i förtroendearkivet om det behövs.
7	Registrera den första noden i klustret Registrera den virtuella datorn med Cisco Webex-molnet som en hybrid datasäkerhetsnod.
8	Skapa och registrera fler noder Slutför klusterinstallationen.
9	Aktivera HDS för flera hyresgäster på Partner Hub. Aktivera HDS och hantera hyresgästorganisationer på Partner Hub.

Utför den första installationen och ladda ner installationsfilerna

I den här uppgiften laddar du ner en OVA-fil till din dator (inte till de servrar du konfigurerar som Hybrid Data Security-noder). Du använder den här filen senare i installationsprocessen.

1	Logga in på Partner Hub och klicka sedan på Tjänster.
2	I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar sedan på Konfigurera. Att klicka på Konfigurera i Partner Hub är avgörande för distributionsprocessen. Fortsätt inte med installationen utan att slutföra detta steg.
3	Klicka på Lägg till en resurs och klicka på Ladda ner .OVA-filen på kortet Installera och konfigurera programvara. Äldre versioner av programpaketet (OVA) kommer inte att vara kompatibla med de senaste uppgraderingarna för Hybrid Data Security. Detta kan leda till problem vid uppgradering av applikationen. Se till att du laddar ner den senaste versionen av OVA-filen. Du kan också ladda ner OVA när som helst från Hjälp -avsnittet. Klicka på Inställningar > Hjälp > Ladda ner programvara för hybrid datasäkerhet. OVA-filen börjar laddas ner automatiskt. Spara filen på en plats på din dator.

Skapa en konfigurations-ISO för HDS-värdarna

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver autentiseringsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1 till 5 i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5 nedan. Den här tabellen ger några möjliga miljövariabler:

Beskrivning

Variabel

HTTP-proxyserver utan autentisering

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy utan autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxyserver med autentisering

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxyserver med autentisering

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

1

På din dators kommandorad anger du lämpligt kommando för din miljö:

I vanliga miljöer:

docker rmi ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker rmi ciscocitg/hds-setup-fedramp:stable

Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.

2

För att logga in på Docker-bildregistret anger du följande:

docker login -u hdscustomersro

3

Vid lösenordsupp prompten anger du detta hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Hämta den senaste stabil bild för din miljö:

I vanliga miljöer:

docker pull ciscocitg/hds-setup:stable

I FedRAMP-miljöer:

docker pull ciscocitg/hds-setup-fedramp:stable

5

När pull-in är slutförd anger du lämpligt kommando för din miljö:

I vanliga miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I vanliga miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

I FedRAMP-miljöer utan proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

I FedRAMP-miljöer med en HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

När behållaren körs ser du "Expressserverlyssning på port 8080".

6

Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost.

Använd en webbläsare för att gå till localhost, http://127.0.0.1:8080, och ange administratörsanvändarnamnet för Partner Hub vid prompten.

Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.

7

När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.

8

På översiktssidan för installationsverktyget klickar du på Kom igång.

9

På sidan ISO-import har du dessa alternativ:

Nej— Om du skapar din första HDS-nod har du ingen ISO-fil att ladda upp.
Ja— Om du redan har skapat HDS-noder väljer du din ISO-fil i bläddringsfältet och laddar upp den.

10

Kontrollera att ditt X.509-certifikat uppfyller kraven i X.509-certifikatkrav.

Om du aldrig har laddat upp ett certifikat tidigare, ladda upp X.509-certifikatet, ange lösenordet och klicka på Fortsätt.
Om ditt certifikat är OK klickar du på Fortsätt.
Om ditt certifikat har gått ut eller om du vill ersätta det, välj Nej för Vill du fortsätta använda HDS-certifikatkedjan och den privata nyckeln från föregående ISO?. Ladda upp ett nytt X.509-certifikat, ange lösenordet och klicka på Fortsätt.

11

Ange databasadressen och kontot för att HDS ska få åtkomst till ditt nyckeldatalager:

Välj din databastyp (PostgreSQL eller Microsoft SQL Server).

Om du väljer Microsoft SQL Serverfår du ett fält för autentiseringstyp.
(Endast Microsoft SQL Server ) Välj din autentiseringstyp:
- Grundläggande autentisering: Du behöver ett lokalt SQL Server-kontonamn i fältet Användarnamn.
- Windows-autentisering: Du behöver ett Windows-konto i formatet username@DOMAIN i fältet Användarnamn.
Ange databasserveradressen i formen : eller :.

Exempel:
dbhost.example.org:1433 eller 198.51.100.17:1433

Du kan använda en IP-adress för grundläggande autentisering om noderna inte kan använda DNS för att matcha värdnamnet.

Om du använder Windows-autentisering måste du ange ett fullständigt kvalificerat domännamn i formatet dbhost.example.org:1433
Ange Databasnamn.
Ange användarnamnet och lösenordet för en användare med alla behörigheter till nyckellagringsdatabasen.

12

Välj ett TLS-databasanslutningsläge:

Mode	Beskrivning
Föredra TLS (standardalternativ)	HDS-noder kräver inte att TLS ansluter till databasservern. Om du aktiverar TLS på databasservern försöker noderna upprätta en krypterad anslutning.
Kräver TLS	HDS-noder ansluter endast om databasservern kan förhandla om TLS.
Kräv TLS och verifiera certifikat signering	Det här läget är inte tillämpligt för SQL Server-databaser. HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.
Kräv TLS och verifiera certifikat signering och värdnamn	HDS-noder ansluter endast om databasservern kan förhandla om TLS. Efter att en TLS-anslutning har upprättats jämför noden certifikatets signerare från databasservern med certifikatutfärdaren i Databasrotcertifikat. Om noden inte matchar sänker noden anslutningen. Noderna verifierar också att värdnamnet i servercertifikatet matchar värdnamnet i fältet Databasvärd och port. Namnen måste matcha exakt, eller så tappar noden anslutningen. Använd databaskontrollen rotcertifikat rullgarding för att ladda upp rotcertifikat det här alternativet.

När du laddar upp rotcertifikatet (om det behövs) och klickar på Fortsätttestar HDS-installationsverktyget TLS-anslutningen till databasservern. Verktyget verifierar om tillämpligt certifikatutfärdaren och värdnamnet. Om ett test misslyckas visar verktyget ett felmeddelande som beskriver problemet. Du kan välja om du vill ignorera felet och fortsätta med installationen. (På grund av skillnader i anslutning kan HDS-noderna eventuellt upprätta TLS-anslutningen även om HDS Setup Tool-datorn inte kan testa den.)

13

På sidan Systemloggar konfigurerar du din Syslogd-server:

Ange URL:en för syslog-servern.

Om servern inte är DNS-matchbar från noderna för ditt HDS-kluster, använd en IP-adress i URL:en.

Exempel:
udp://10.92.43.23:514 indikerar loggning till Syslogd-värd 10.92.43.23 på UDP-port 514.
Om du konfigurerar din server för att använda TLS-kryptering, markera Är din server konfigurerad för TLS-förhandling/handskakning?.

Om du markerar den här kryssrutan, se till att du anger en TCP-URL som tcp://10.92.43.23:514och laddar upp syslog-rotcertifikatet.
Från rullgardinsmenyn Välj syslog-postavslutning väljer du lämplig inställning för din ISO-fil: Choose eller Newline används för Graylog och Rsyslog TCP
- Nullbyte -- \x00
- Ny rad -- \n—Välj det här alternativet för Graylog och Rsyslog TCP.
Klicka på Fortsätt.

14

(Valfritt) Du kan ändra standardvärdet för vissa databasanslutningsparametrar i Avancerade inställningar. Generellt sett är den här parametern den enda du kanske vill ändra:

app_datasource_connection_pool_maxSize: 10

15

Klicka på Fortsätt på skärmen Återställ lösenord för servicekonton.

Lösenord för tjänstkonton har en livslängd på nio månader. Använd den här skärmen när dina lösenord närmar sig utgångsdatumet eller om du vill återställa dem för att ogiltigförklara tidigare ISO-filer.

16

Klicka på Ladda ner ISO-fil. Spara filen på en plats som är lätt att hitta.

17

Gör en säkerhetskopia av ISO-filen på ditt lokala system.

Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.

18

För att stänga av installationsverktyget, skriv CTRL+C.

Nästa steg

Säkerhetskopiera konfigurations-ISO-filen. Du behöver den för att skapa fler noder för återställning eller för att göra konfigurationsändringar. Om du förlorar alla kopior av ISO-filen har du också förlorat huvudnyckeln. Det är inte möjligt att återställa nycklarna från din PostgreSQL- eller Microsoft SQL Server-databas.

Vi har aldrig en kopia av den här nyckeln och kan inte hjälpa till om du tappar bort den.

Installera HDS Host OVA

Använd den här proceduren för att skapa en virtuell maskin från OVA-filen.

1	Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden.
2	Välj Fil > Distribuera OVF-mall.
3	I guiden anger du platsen för OVA-filen som du laddade ner tidigare och klickar sedan på Nästa.
4	På sidan Välj ett namn och en mapp anger du ett namn på en virtuell maskin för noden (till exempel "HDS_Node_1"), väljer en plats där distributionen av den virtuella maskinnoden kan finnas och klickar sedan på Nästa.
5	På sidan Välj en beräkningsresurs väljer du målberäkningsresursen och klickar sedan på Nästa. En valideringskontroll körs. När det är klart visas mallinformationen.
6	Verifiera mallinformationen och klicka sedan på Nästa.
7	Om du blir ombedd att välja resurskonfiguration på sidan Konfiguration klickar du på 4 CPU och sedan på Nästa.
8	På sidan Välj lagring klickar du på Nästa för att acceptera standarddiskformatet och policyn för virtuell maskins lagring.
9	På sidan Välj nätverk väljer du nätverksalternativet från listan över poster för att tillhandahålla önskad anslutning till den virtuella datorn.
10	På sidan Anpassa mall konfigurerar du följande nätverksinställningar: Värdnamn—Ange FQDN (värdnamn och domän) eller ett värdnamn med ett enda ord för noden. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet. För att säkerställa en lyckad registrering i molnet, använd endast gemener i det FQDN eller värdnamn som du anger för noden. Det finns för närvarande inget stöd för versalisering. Den totala längden på FQDN-koden får inte överstiga 64 tecken. IP-adress— Ange IP-adressen för nodens interna gränssnitt. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte. Mask— Ange subnätmaskadressen med punkt-decimal notation. Till exempel, 255.255.255.0. Gateway— Ange gatewayens IP-adress. En gateway är en nätverksnod som fungerar som en åtkomstpunkt till ett annat nätverk. DNS-servrar—Ange en kommaseparerad lista över DNS-servrar som hanterar översättning av domännamn till numeriska IP-adresser. (Upp till fyra DNS-poster är tillåtna.) NTP-servrar— Ange din organisations NTP-server eller en annan extern NTP-server som kan användas i din organisation. Standard-NTP-servrarna kanske inte fungerar för alla företag. Du kan också använda en kommaseparerad lista för att ange flera NTP-servrar. Distribuera alla noder på samma undernät eller VLAN, så att alla noder i ett kluster kan nås från klienter i ditt nätverk för administrativa ändamål. Om du föredrar kan du hoppa över konfigurationen av nätverksinställningarna och följa stegen i Konfigurera den virtuella hybriddatasäkerhetsmaskinen för att konfigurera inställningarna från nodkonsolen. Alternativet att konfigurera nätverksinställningar under OVA-distribution har testats med ESXi 7.0 och 8.0. Alternativet kanske inte är tillgängligt i tidigare versioner.
11	Högerklicka på nodens virtuella dator och välj sedan Strömförsörjning > Slå på. Hybrid Data Security-programvaran installeras som gäst på den virtuella datorvärden. Du är nu redo att logga in på konsolen och konfigurera noden. Felsökningstips Det kan uppstå en fördröjning på några minuter innan nodbehållarna dyker upp. Ett meddelande om en bryggbrandvägg visas på konsolen under första starten, och under den tiden kan du inte logga in.

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Använd den här proceduren för att logga in på Hybrid Data Security-nodens virtuella datorkonsol för första gången och ange inloggningsuppgifterna. Du kan också använda konsolen för att konfigurera nätverksinställningarna för noden om du inte konfigurerade dem vid tidpunkten för OVA-distributionen.

1	I VMware vSphere-klienten väljer du din virtuella dator för hybriddatasäkerhetsnoden och väljer fliken Konsol. Den virtuella maskinen startar och en inloggningsfråga visas. Om inloggningsfrågan inte visas trycker du på Enter.
2	Använd följande standardinloggning och lösenord för att logga in och ändra inloggningsuppgifterna: Inloggning: `admin` Lösenord: `ciscosystems` Eftersom du loggar in på din virtuella dator för första gången måste du ändra administratörslösenordet.
3	Om du redan har konfigurerat nätverksinställningarna i Installera HDS Host OVAhoppar du över resten av den här proceduren. Annars väljer du alternativet Redigera konfiguration i huvudmenyn.
4	Konfigurera en statisk konfiguration med IP-adress, mask, gateway och DNS-information. Din nod bör ha en intern IP-adress och ett DNS-namn. DHCP stöds inte.
5	(Valfritt) Ändra värdnamn, domän eller NTP-server(ar) om det behövs för att matcha din nätverkspolicy. Du behöver inte ställa in domänen så att den matchar den domän du använde för att hämta X.509-certifikatet.
6	Spara nätverkskonfigurationen och starta om den virtuella datorn så att ändringarna träder i kraft.

Ladda upp och montera HDS-konfigurations-ISO:n

Använd den här proceduren för att konfigurera den virtuella maskinen från ISO-filen som du skapade med HDS Setup Tool.

Innan du börjar

Eftersom ISO-filen innehåller huvudnyckeln bör den endast exponeras vid behov, för åtkomst av hybriddatasäkerhets-VM:er och eventuella administratörer som kan behöva göra ändringar. Se till att endast dessa administratörer har åtkomst till datalagret.

1

Ladda upp ISO-filen från din dator:

I VMware vSphere-klientens vänstra navigeringsfönster klickar du på ESXi-servern.
På fliken Konfiguration klickar du på Lagring.
I listan Datalager högerklickar du på datalagret för dina virtuella datorer och klickar på Bläddra i datalager.
Klicka på ikonen Ladda upp fil och klicka sedan på Ladda upp fil.
Bläddra till den plats där du laddade ner ISO-filen på din dator och klicka på Öppna.
Klicka på Ja för att acceptera upload/download operationsvarning och stäng datalagrets dialogruta.

2

Montera ISO-filen:

I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar.
Klicka på OK för att acceptera varningen om begränsade redigeringsalternativ.
Klicka på CD/DVD Drive 1, välj alternativet att montera från en ISO-fil för datalager och bläddra till den plats där du laddade upp ISO-filen för konfigurationen.
Markera Ansluten och Anslut vid strömpåslag.
Spara dina ändringar och starta om den virtuella maskinen.

Nästa steg

Om din IT-policy kräver det kan du valfritt avmontera ISO-filen efter att alla dina noder har registrerat konfigurationsändringarna. Se (Valfritt) Avmontera ISO efter HDS-konfiguration för mer information.

Konfigurera HDS-noden för proxy-integrering

Om nätverks miljön kräver en proxy, Använd denna procedur för att ange vilken typ av proxy du vill integrera med hybrid-datasäkerhet. Om du väljer en genomskinlig eller HTTPS-proxy kan du använda nodens gränssnitt för att överföra och installera rotcertifikat. Du kan också kontrol lera proxykonfigurationen från gränssnittet och felsöka eventuella problem.

Innan du börjar

Se Proxystöd för en översikt över de proxyalternativ som stöds.
Proxy Server krav

1	Ange installations-URL:en för HDS-noden `https://[HDS Node IP or FQDN]/setup` i en webbläsare, ange administratörsuppgifterna som du har konfigurerat för noden och klicka sedan på Logga in.
2	Klicka på betrodd Arkiv & proxyoch välj sedan ett alternativ: Ingen proxy— Standardalternativet innan du integrerar en proxy. Ingen certifikat uppdatering krävs. Transparent icke-inspekterande proxy— Noder är inte konfigurerade för att använda en specifik proxyserveradress och bör inte kräva några ändringar för att fungera med en icke-inspekterande proxy. Ingen certifikat uppdatering krävs. Transparent inspektionsproxy—Noder är inte konfigurerade för att använda en specifik proxyserveradress. Inga ändringar av HTTPS-konfigurationen behövs för hybridens säkerhets distribution, men HDS-noderna behöver en rotcertifikat så att de litar på proxyn. Kontroll av proxyservrar används vanligt vis av den för att säkerställa att de olika webbplatserna kan nås och vilka typer av innehåll som inte är tillåtna. Den här typen av proxy avkrypterar all din trafik (jämn HTTPS). Explicit proxy— Med explicit proxy anger du för klienten (HDS-noder) vilken proxyserver som ska användas, och det här alternativet stöder flera autentiseringstyper. När du har valt det här alternativet måste du ange följande information: Proxy IP/FQDN—Adress som kan användas för att nå proxymaskinen. Proxyport—Ett portnummer som proxyn använder för att lyssna efter proxytrafik. Proxyprotokoll—Välj http (visar och kontrollerar alla förfrågningar som tas emot från klienten) eller https (tillhandahåller en kanal till servern och klienten tar emot och validerar serverns certifikat). Välj ett alternativ baserat på vad din proxyserver har stöd för. Autentiseringstyp— Välj bland följande autentiseringstyper: Ingen—Ingen ytterligare autentisering krävs. Tillgängligt för HTTP-och HTTPS-proxyservrar. Grundläggande—Används av en HTTP-användaragent för att tillhandahålla ett användarnamn och lösenord vid en begäran. Använder base64-kodning. Tillgängligt för HTTP-och HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Digest— Används för att bekräfta kontot innan känslig information skickas. Använder en hash-funktion på användarnamn och lösen ordet innan sändningen skickas över nätverket. Endast tillgängligt för HTTPS-proxyservrar. Om du väljer det här alternativet måste du också ange användarnamn och lösen ordet. Följ nästa steg för en genomskinlig kontrollant, en HTTP-explicit proxy med grundläggande autentisering eller en HTTPS-proxy.
3	Klicka på överför ett rot certifikat eller ett Slutenhets certifikatoch navigera sedan till en Välj rotcertifikat för proxyn. Certifikatet har laddats upp men har ännu inte installerats eftersom du måste starta om noden för att installera certifikatet. Klicka på den nedpilen av certifikat utfärdarens namn för att få mer information eller klicka på ta bort om du gjorde ett misstag och vill överföra filen igen.
4	Klicka på kontrol lera proxy-anslutning för att testa nätverks anslutningen mellan noden och proxyn. Om anslutnings testet Miss lyckas visas ett fel meddelande som visar anledningen och hur du kan åtgärda problemet. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern. Detta tillstånd är förväntat i flera uttryckliga proxyinställningar. Du kan fortsätta med konfigurationen, och noden kommer att fungera i blockerad extern DNS-Matchningstid. Om du tror att detta är ett fel, slutför dessa steg och se sedan Stäng av blockerat externt DNS-upplösningsläge.
5	När anslutnings testet har passerat, för uttrycklig proxy inställd på endast https, slå på/av av alla port 443/444 https-förfrågningar från denna nod via den uttryckliga proxyn. Den här inställningen kräver att 15 sekunder börjar gälla.
6	Klicka på Installera alla certifikat i Trust Store (visas för en https-proxy eller en transparent kontrollant) eller starta om (visas för en http-explicit proxy), Läs meddelandet och klicka sedan på installera om du är redo. Noden startas om inom några minuter.
7	När noden har startat om, logga in igen om det behövs och öppna sedan översikts sidan för att kontrol lera anslutnings kontrollerna för att säkerställa att de är i grönt tillstånd. Proxy-anslutnings kontrollen testar endast en under domän av webex.com. Om det uppstår anslutnings problem innebär ett vanligt problem att vissa av moln domänerna som listas i installations anvisningarna blockeras på proxyn.

Registrera den första noden i klustret

Den här uppgiften tar den generiska noden som du skapade i Konfigurera den virtuella hybriddatasäkerhetsmaskinen, registrerar noden i Webex-molnet och omvandlar den till en hybriddatasäkerhetsnod.

När du registrerar din första nod skapar du ett kluster som noden tilldelas. Ett kluster innehåller en eller flera noder som är distribuerade för att tillhandahålla redundans.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
4	På sidan som öppnas klickar du på Lägg till en resurs.
5	I det första fältet på kortet Skapa ett nytt kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
6	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
7	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
8	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet.
9	Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.

Skapa och registrera fler noder

För att lägga till ytterligare noder i ditt kluster skapar du helt enkelt ytterligare virtuella maskiner och monterar samma konfigurations-ISO-fil och registrerar sedan noden. Vi rekommenderar att du har minst 3 noder.

Innan du börjar

När du väl har börjat registrera en nod måste du slutföra den inom 60 minuter, annars måste du börja om.
Se till att alla popup-blockerare i din webbläsare är inaktiverade eller att du tillåter ett undantag för admin.webex.com.

1	Skapa en ny virtuell maskin från OVA och upprepa stegen i Installera HDS Host OVA.
2	Konfigurera den initiala konfigurationen på den nya virtuella datorn och upprepa stegen i Konfigurera den hybrida virtuella datorn för datasäkerhet.
3	Upprepa stegen i Ladda upp och montera HDS-konfigurations-ISOpå den nya virtuella maskinen.
4	Om du konfigurerar en proxy för din distribution, upprepa stegen i Konfigurera HDS-noden för proxyintegration efter behov för den nya noden.
5	Registrera noden. I https://admin.webex.comväljer du Tjänster från menyn till vänster på skärmen. I avsnittet Hybrid letar du upp kortet Hybrid Data Security och klickar på Visa alla. Sidan Hybrid datasäkerhetsresurser visas. Det nyskapade klustret kommer att visas på sidan Resurser. Klicka på klustret för att visa de noder som är tilldelade klustret. Klicka på Lägg till en nod på höger sida av skärmen. Ange den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klicka på Lägg till. En sida öppnas med ett meddelande som anger att du kan registrera din nod i Webex-molnet. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din organisation behörighet att komma åt din nod. Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex-molnet. Klicka på länken eller stäng fliken för att gå tillbaka till sidan Partner Hub Hybrid Data Security. Popup-meddelandetNod tillagd visas också längst ner på skärmen i Partner Hub. Din nod är registrerad.

Nästa steg

För att skapa ytterligare kluster, logga in på Partner Hub och klicka på Tjänster > Hybrid datasäkerhet > Visa alla > Lägg till ett kluster. Följ stegen som beskrivs i avsnittet ovan för att lägga till den första noden i det eller de ytterligare klustren.

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Den här uppgiften säkerställer att alla användare i kundorganisationerna kan börja utnyttja HDS för lokala krypteringsnycklar och andra säkerhetstjänster.

Innan du börjar

Se till att du har slutfört konfigureringen av ditt HDS-kluster med flera hyresgäster med det antal noder som krävs.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar.
4	Klicka på Aktivera HDS på kortet HDS-status.

Lägg till hyresgästorganisationer i Partner Hub

I den här uppgiften tilldelar du kundorganisationer till ditt hybriddatasäkerhetskluster.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	Gå till fliken Tilldelade kunder. Fliken Tilldelade kunder visas inte förrän du skapar ett kluster.
5	Klicka på Lägg till kunder.
6	Välj den kund du vill lägga till från rullgardinsmenyn.
7	Klicka på Lägg tillså läggs kunden till i klustret.
8	Upprepa steg 5 till 7 för att lägga till flera kunder i ditt kluster.
9	Klicka på Klar längst ner på skärmen när du har lagt till kunderna. Tillagda kunder kommer att synkroniseras mellan alla tillgängliga kluster.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Innan du börjar

Tilldela kunder enligt beskrivningen i Lägg till hyresgästorganisationer i Partner Hub. Kör HDS-installationsverktyget för att slutföra installationsprocessen för de nyligen tillagda kundorganisationerna.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den. Säkerställ anslutning till din databas för att utföra CMK-hantering.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Skapa CMK för alla ORG:er eller Skapa CMK – Klicka på den här knappen i bannern högst upp på skärmen för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Skapa CMK:er för att skapa CMK:er för alla nyligen tillagda organisationer. Klicka på nära statusen för väntande CMK-hantering för en specifik organisation i tabellen och klicka på Skapa CMK för att skapa CMK för den organisationen.
12	När CMK-skapandet har lyckats ändras statusen i tabellen från CMK-hantering väntar till CMK hanterad.
13	Om skapandet av CMK misslyckas visas ett felmeddelande.

Ta bort hyresgästorganisationer

Innan du börjar

När de väl tagits bort kommer användare av kundorganisationer inte att kunna utnyttja HDS för sina krypteringsbehov och kommer att förlora alla befintliga utrymmen. Innan du tar bort kundorganisationer, vänligen kontakta din Cisco-partner eller kontoansvariga.

1	Logga in på https://admin.webex.com.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Visa alla.
4	På sidan som öppnas klickar du på fliken Tilldelade kunder.
5	Från listan över kundorganisationer som visas klickar du på till höger om den kundorganisation du vill ta bort och klickar på Ta bort från kluster.

Nästa steg

Slutför borttagningsprocessen genom att återkalla CMK:erna för kundorganisationerna enligt beskrivningen i Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Innan du börjar

Ta bort kunder enligt beskrivningen i Ta bort hyresgästorganisationer. Kör HDS-installationsverktyget för att slutföra borttagningsprocessen för de kundorganisationer som togs bort.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".
6	Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. Använd en webbläsare för att gå till localhost, `http://127.0.0.1:8080`, och ange administratörsanvändarnamnet för Partner Hub vid prompten. Verktyget använder den första inmatningen av användarnamnet för att ställa in rätt miljö för det kontot. Verktyget visar sedan standardinloggningsfrågan.
7	När du uppmanas anger du dina inloggningsuppgifter för Partner Hub-administratören och klickar sedan på Logga in för att ge åtkomst till de tjänster som krävs för Hybrid Data Security.
8	På översiktssidan för installationsverktyget klickar du på Kom igång.
9	På sidan ISO-import klickar du på Ja.
10	Välj din ISO-fil i webbläsaren och ladda upp den.
11	Gå till fliken Hantering av hyresgäst-CMK där du hittar följande tre sätt att hantera hyresgäst-CMK:er. Återkalla CMK för alla organisationer eller Återkalla CMK – Klicka på den här knappen i bannern högst upp på skärmen för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på knappen Hantera CMK:er till höger på skärmen och klicka på Återkalla CMK:er för att återkalla CMK:er för alla organisationer som har tagits bort. Klicka på nära statusen CMK som ska återkallas för en specifik organisation i tabellen och klicka på Återkalla CMK för att återkalla CMK för den specifika organisationen.
12	När CMK-återkallandet har lyckats visas kundorganisationen inte längre i tabellen.
13	Om CMK-återkallandet misslyckas visas ett felmeddelande.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Använd den här proceduren för att testa krypteringsscenarier med flera hyresgäster, Hybrid Data Security.

Innan du börjar

Konfigurera din distribution av hybrid datasäkerhet med flera innehavare.
Se till att du har åtkomst till sysloggen för att verifiera att nyckelförfrågningar skickas till din Multi-Tenant Hybrid Data Security-distribution.

1

Nycklar för ett givet utrymme anges av skaparen av utrymmet. Logga in på Webex-appen som en av kundorganisationens användare och skapa sedan ett utrymme.

Om du inaktiverar Hybrid Data Security-distributionen är innehåll i utrymmen som användare skapar inte längre tillgängligt när de klientcachelagrade kopiorna av krypteringsnycklarna har ersatts.

2

Skicka meddelanden till det nya utrymmet.

3

Kontrollera syslog-utdata för att verifiera att nyckelförfrågningarna skickas till din Hybrid Data Security-distribution.

Om en användare av en nyligen tillagd kundorganisation utför någon åtgärd visas organisationens organisations-ID i loggarna, och detta kan användas för att verifiera att organisationen använder Multi-Tenant HDS. Kontrollera värdet på kms.data.orgId i sysloggarna.

För att kontrollera om en användare först upprättar en säker kanal till KMS, filtrera på kms.data.method=create och kms.data.type=EPHEMERAL_KEY_COLLECTION:

Du bör hitta en post som liknar följande (identifierare förkortade för läsbarhet):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär en befintlig nyckel från KMS, filtrera på kms.data.method=retrieve och kms.data.type=KEY:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att en ny KMS-nyckel ska skapas, filtrera på kms.data.method=create och kms.data.type=KEY_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

För att kontrollera om en användare begär att ett nytt KMS-resursobjekt (KRO) skapas när ett utrymme eller annan skyddad resurs skapas, filtrera på kms.data.method=create och kms.data.type=RESOURCE_COLLECTION:

Du ska nu hitta en post som till exempel följande:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tolka HDS-loggar och förstå agentetiketter

HDS-loggar ger detaljerad information om KMS-förfrågningar. Dessa loggar innehåller olika fält som hjälper till att identifiera begäran och den tillhörande identiteten. Att förstå dessa fält är avgörande för att korrekt tolka aktiviteter och tillförlitliga interna operationer.

Terminologi

För att säkerställa tydlighet vid granskning av HDS-loggar är det viktigt att förstå följande termer:

Term	Definition
Tjänstekonto	En tjänstidentitet som gör det möjligt för Webex-tjänster att utföra auktoriserade åtgärder på ett säkert sätt.
Agent	En tjänsteentitet eller tjänstekontoidentitet som används för att utföra automatiserade åtgärder inom HDS-miljön.
Agentetikett	En tagg som ingår i HDS-loggar och som identifierar den specifika källan och typen av en inkommande begäran, vilket möjliggör effektiv granskning av åtkomstkontroll.
Delegerad åtkomst	Ett auktoriserat tjänstkonto som gör en begäran för en specifik användare, inom den användarens behörigheter. Visas som en delegeringsförfrågan: `agent -> userid`.

Termen "Agent" i detta sammanhang hänvisar specifikt till HDS-tjänstidentiteter. Dessa är inte relaterade till de AI-drivna agenter som används i andra Webex-funktioner.

En begäran hanteras endast när den kommer från:

en autentiserad användare i din organisation, eller
ett tjänstkonto som finns i, och är auktoriserat av, din organisation.

Översikt över loggfält

Fält	Vad den representerar
Tidsstämpel	Datum och tid för operationen.
kms.data.metod	Den utförda KMS-operationen (t.ex. hämta).
kms.data.orgld	Organisationsidentifierare.
kms.data.httpUserAgent	Klienten eller tjänsten som gör begäran.
WEBEX_SPÅRNINGS-ID	Unik spårningsidentifierare för begäran.
kms.data.uriHost / kms.data.uri	Värden och resursen som begäran är riktad mot.
kms.data.användarld	Identiteten som utför begäran, inklusive en agentetikett.
kms.response.success	Anger om begäran lyckades.

Förfrågningstyper - Snabbreferens

Tagg i logg	Agentetikett	Vad den representerar	Typiska operationer
Användartyp: userAgent	Användaragent	Ett betrott tjänstkonto kopplat till ett användararbetsflöde, begränsat till din organisation.	Creating/managing nycklar för en användarprocess.
o-agent <id> -> användar-ID <id>	Organisationsagent	Ett betrott tjänstekonto på organisationsnivå som använder delegerad åtkomst.	Compliance officers utvinning av Webex-data, kalenderintegrationer.
c-agent <id> -> användar-ID <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran för en specifik användare.	Virusskanning, förhandsgranskning av innehåll, transkriptioner.
c-agent <id>	Molnagent	En Webex-tjänst som utför en delegerad begäran.	ECDHE / sessionsnycklar.
Slutanvändarens UUID	-	Den autentiserade slutanvändaren som interagerar med HDS.	En användare hämtar sin egen nyckel.

Förfrågningstyper - I detalj

Agentetiketter kategoriserar källan till begäran och hjälper till att fastställa lämpliga åtkomstkontroller. Följande exempel visar flera förfrågningstyper och de agentetiketter som är associerade med dem.

Användaragent (användaragent):

Dessa är betrodda Webex-tjänstkonton som är kopplade till specifika användararbetsflöden och är begränsade till kundorganisationen. De används vanligtvis när en tjänst skapar och hanterar nycklar för ett användararbetsflöde.

Exempellogg:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en användaragent (userAgent) som utför resursinsamlingsåtgärder för en Webex-tjänst.
Organisationsagent (o-agent):

Dessa betrodda Webex-tjänstkonton är auktoriserade att utföra delegerade åtgärder för användares räkning inom HDS. Dessa konton är kopplade till kundorganisationen och utför åtgärder på organisationsnivå. Den här funktionen stöder flera funktioner, till exempel att göra det möjligt för efterlevnadsansvariga att söka och extrahera Webex-kommunikationsdata – vilket säkerställer organisationens anpassning till regelverk, säkerhet och datasekretessstandarder.

Exempellogg:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en organisationsagent (o-agent 9[~]c) som hämtar en nyckel för användarens (4[~]b) räkning för en Webex-tjänst.
Molnagent (c-agent):
Dessa betrodda Webex-tjänstkonton är behöriga att utföra åtgärder på HDS via delegerad åtkomst för en användares räkning. De stöder viktiga funktioner – som inspelningar efter möten, transkriptioner, skanning efter skadlig kod och förhandsgranskningar av filer – som förbättrar den övergripande användarupplevelsen.

Även om molnagenter kan inaktiveras genom att ändra ISO-filen, bör kunder vara medvetna om att detta kommer att resultera i förlust av funktioner, till exempel inspelningar efter möten, transkriptioner, förhandsgranskningar av filer och automatiserad skanning efter skadlig kod i Webex App Spaces. För mer information, se avsnittet Inaktivera molnagenter.

Exempellogg:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Nyckelindikator: Exempelloggen visar en molnagent (c-agent b[~]c) som hämtar en innehållsnyckel för användarens (9[~]c) räkning.

Direkt interaktion med slutanvändaren:

En autentiserad användare interagerar direkt med HDS.

Exempellogg:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Nyckelindikator: Exempelloggen visar en slutanvändare (c[~]f) som hämtar en nyckel och interagerar direkt med HDS.

Övervaka hybriddatasäkerhetshälsa

En statusindikator i Partner Hub visar om allt är som det ska med distributionen av Hybrid Data Security för flera hyresgäster. För mer proaktiva aviseringar, registrera dig för e-postaviseringar. Du får ett meddelande när det finns larm eller programvaruuppgraderingar som påverkar tjänsten.

1	I Partnerhubbväljer du Tjänster från menyn till vänster på skärmen.
2	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Redigera inställningar. Sidan Inställningar för hybriddatasäkerhet visas.
3	I avsnittet E-postmeddelanden skriver du en eller flera e-postadresser separerade med kommatecken och trycker på Enter.

Hantera din HDS-distribution

Hantera HDS-distribution

Använd uppgifterna som beskrivs här för att hantera din hybriddatasäkerhetsdistribution.

Ställ in schema för klusteruppgradering

Programuppgraderingar för Hybrid Data Security görs automatiskt på klusternivå, vilket säkerställer att alla noder alltid kör samma programversion. Uppgraderingar utförs enligt uppgraderingsschemat för klustret. När en programuppgradering blir tillgänglig har du möjlighet att manuellt uppgradera klustret före den schemalagda uppgraderingstiden. Du kan ställa in ett specifikt uppgraderingsschema eller använda standardschemat för 3:00 AM Daily USA: America/Los Angeles. Du kan också välja att skjuta upp en kommande uppgradering, om det behövs.

Så här ställer du in uppgraderingsschemat:

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid, leta reda på Hybrid datasäkerhet och klicka på Konfigurera
4	På sidan Hybrid datasäkerhetsresurser väljer du klustret.
5	Klicka på fliken Klusterinställningar.
6	På sidan Klusterinställningar, under Uppgraderingsschema, väljer du tid och tidszon för uppgraderingsschemat. Obs: Under tidszonen visas nästa tillgängliga uppgraderingsdatum och tid. Du kan skjuta upp uppgraderingen till följande dag om det behövs genom att klicka på Skjut upp med 24 timmar.

Ändra nodkonfigurationen

Ibland kan du behöva ändra konfigurationen av din Hybrid-datasäkerhetsnod av exempelvis:

Ändra x.509-certifikat på grund av utgångsdatum eller andra orsaker.

Vi stöder inte ändring av ett certifikats CN-domännamn. Domänen måste matcha den ursprungliga domänen som användes för att registrera klustret.
Uppdaterar databasinställningar för att ändra till en klient av PostgreSQL- eller Microsoft SQL Server-databasen.

Vi stöder inte migrering av data från PostgreSQL till Microsoft SQL Server, eller tvärtom. Om du vill växla databasmiljön startar du en ny distribution av Hybrid-datasäkerhet.
Skapa en ny konfiguration för att förbereda ett nytt datacenter.

Av säkerhetsskäl använder hybriddatasäkerhet även lösenord för tjänstekonto som har en nio månaders livslängd. När HDS-konfigurationsverktyget skapar dessa lösenord distribuerar du dem till var och en av dina HDS-noder i ISO-konfigurationsfilen. När din organisations lösenord snart upphör att gälla får du ett meddelande från Webex-teamet om att återställa lösenordet för ditt maskinkonto. (E-postmeddelandet innehåller texten "Använd datorkontots API för att uppdatera lösenordet.") Om dina lösenord ännu inte har upphört att gälla har verktyget två alternativ att välja på:

Mjuk återställning— Både det gamla och det nya lösenordet fungerar i upp till 10 dagar. Använd denna period för att ersätta ISO-filen på noderna stegvis.
Hård återställning— De gamla lösenorden slutar fungera omedelbart.

Om dina lösenord upphör att gälla utan återställning påverkas din HDS-tjänst vilket kräver en omedelbar hårddiskåterställning och ersättning av ISO-filen på alla noder.

Använd denna procedur för att generera en ny ISO-konfigurationsfil och tillämpa den på ditt kluster.

Innan du börjar

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. Kör Docker på den datorn för att komma åt den. Installationsprocessen kräver inloggningsuppgifter för ett Partner Hub-konto med fullständiga administratörsrättigheter för partnern.

Om du inte har en Docker Desktop-licens kan du använda Podman Desktop för att köra HDS-installationsverktyget för steg 1.a till 1.e i proceduren nedan. Se Kör HDS-installationsverktyget med Podman Desktop för mer information.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i 1.e. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Du behöver en kopia av den aktuella ISO-konfigurationsfilen för att generera en ny konfiguration. ISO innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver ISO-filen när du gör konfigurationsändringar, inklusive autentiseringsuppgifter för databasen, certifikatuppdateringar eller ändringar i behörighetspolicy.

1	Om du använder Docker på en lokal dator kör du HDS-konfigurationsverktyget. På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `docker rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera. För att logga in på Docker-bildregistret anger du följande: `docker login -u hdscustomersro` Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `docker pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `docker pull ciscocitg/hds-setup-fedramp:stable` Se till att du använder det senaste konfigurationsverktyget för den här proceduren. Versioner av verktyget som skapades före den 22 februari 2018 har inte några skärmar för lösenordsåterställning. När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080". Använd en webbläsare för att ansluta till den lokalavärden, `http://127.0.0.1:8080`. Installationsverktyget stöder inte anslutning till localhost via http://localhost:8080. Använd http://127.0.0.1:8080 för att ansluta till localhost. När du uppmanas att göra det anger du dina inloggningsuppgifter för Partner Hub-kunden och klickar sedan på Acceptera för att fortsätta. Importera den aktuella ISO-konfigurationsfilen. Följ anvisningarna för att slutföra verktyget och hämta den uppdaterade filen. För att stänga av installationsverktyget, skriv `CTRL+C`. Skapa en säkerhetskopia av den uppdaterade filen i ett annat datacenter.
2	Om du bara har en HDS-nod som körskapar du en ny virtuell dator med Hybrid Data Security-noden och registrerar den med den nya ISO-konfigurationsfilen. För mer detaljerade instruktioner, se Skapa och registrera fler noder. Installera HDS-värden OVA. Konfigurera virtuell dator för HDS. Montera den uppdaterade konfigurationsfilen. Registrera den nya noden i Partner Hub.
3	Montera ISO-filen för befintliga HDS-noder som använder den äldre konfigurationsfilen. Utför följande procedur på varje nod i tur och uppdatera varje nod innan du stänger av nästa nod: Stäng av den virtuella datorn. I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella datorn och klickar på Redigera inställningar. Klicka på `CD/DVD Drive 1`, välj alternativet att montera från en ISO-fil och bläddra till den plats där du hämtade den nya konfigurations-ISO-filen. Markera Anslut vid start. Spara ändringarna och slå på den virtuella datorn.
4	Upprepa steg 3 för att ersätta konfigurationen på varje återstående nod som använder den gamla konfigurationen.

Inaktivera blockerad extern DNS-Matchningstid

När du registrerar en nod eller markerar nodens proxykonfiguration, testas DNS-sökning och anslutning till Cisco Webex Cloud. Om nodens DNS-server inte kan matcha allmänna DNS-namn, återgår noden automatiskt till blockerad extern DNS-resolution.

Om dina noder kan matcha allmänna DNS-namn via interna DNS-servrar, går det att stänga av detta läge genom att köra testet av anslutnings programmet på alla noder.

Innan du börjar

Se till att dina interna DNS-servrar kan matcha allmänna DNS-namn och att noderna kan kommunicera med dem.

1	I en webbläsare öppnar du nodgränssnittet för Hybrid Data Security (IP) address/setup, till exempel, https://192.0.2.0/setup), ange administratörsuppgifterna som du konfigurerat för noden och klicka sedan på Logga in.
2	Går du till Översikt (standard sidan). När funktionen är aktiverad är blockerad extern DNS-upplösning inställd på Ja.
3	Går du till sidan betrodda certifikat \ proxy .
4	Klicka på kontrol lera proxy-anslutning. Om du ser ett meddelande om att en extern DNS-matchning inte lyckades gick det inte att nå DNS-servern och kommer att förbli kvar i detta läge. När du har startat om noden och sedan går tillbaka till översikts sidan ska den blockerade externa DNS-matchningen ställas in på Nej.

Nästa steg

Upprepa test av anslutnings proxy på alla noder i ditt data säkerhets kluster för Hybrid.

Ta bort en nod

Använd den här proceduren för att ta bort en hybrid datasäkerhetsnod från Webex-molnet. När du har tagit bort noden från klustret tar du bort den virtuella datorn för att förhindra ytterligare åtkomst till dina säkerhetsdata.

1

Använd VMware vSphere-klienten på din dator för att logga in på den virtuella ESXi-värden och stänga av den virtuella maskinen.

2

Ta bort noden:

Logga in på Partner Hub och välj sedan Tjänster.
På kortet Hybrid datasäkerhet klickar du på Visa alla för att visa sidan Resurser för hybrid datasäkerhet.
Välj ditt kluster för att visa dess översiktspanel.
Klicka på noden du vill ta bort.
Klicka på Avregistrera den här noden i panelen som visas till höger.
Du kan också avregistrera noden genom att klicka på … på höger sida av noden och välja Avregistrera nod.

3

Ta bort den virtuella datorn i vSphere-klienten. (Högerklicka på den virtuella datorn i den vänstra navigeringsrutan och klicka på Ta bort.)

Om du inte tar bort den virtuella datorn, kom ihåg att avmontera konfigurations-ISO-filen. Utan ISO-filen kan du inte använda den virtuella datorn för att komma åt dina säkerhetsdata.

Katastrofåterställning med hjälp av Standby Data Center

Den viktigaste tjänsten som ditt hybriddatasäkerhetskluster tillhandahåller är skapandet och lagringen av nycklar som används för att kryptera meddelanden och annat innehåll som lagras i Webex-molnet. För varje användare inom organisationen som är tilldelad Hybrid Data Security dirigeras nya förfrågningar om att skapa nycklar till klustret. Klustret ansvarar också för att returnera de nycklar som det skapat till alla användare som är behöriga att hämta dem, till exempel medlemmar i ett konversationsutrymme.

Eftersom klustret utför den kritiska funktionen att tillhandahålla dessa nycklar är det absolut nödvändigt att klustret fortsätter att köras och att korrekta säkerhetskopior upprätthålls. Förlust av Hybrid Data Security-databasen eller av den ISO-konfiguration som används för schemat kommer att resultera i en OUTERHÄMTNINGSBAR FÖRLUST av kundinnehåll. Följande rutiner är obligatoriska för att förhindra en sådan förlust:

Om en katastrof gör att HDS-distributionen i det primära datacentret blir otillgänglig, följ den här proceduren för att manuellt redundansväxla till reservdatacentret.

Innan du börjar

Använd den senaste ISO-filen som konfigurerades mot noderna i klustret som tidigare var aktivt för att utföra redundansväxlingsproceduren som nämns nedan.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna.
2	Efter att du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan eller tar bort konfigurationen `passiveMode` för att göra noden aktiv. Noden kan hantera trafik när detta har konfigurerats. `passiveMode: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i standby-datacentret. Kontrollera syslog-utdata för att verifiera att noderna i standby-datacentret inte är i passivt läge. ”KMS konfigurerad i passivt läge” ska inte visas i sysloggarna.

Nästa steg

Om det primära datacentret blir aktivt igen efter redundansväxlingen, försätt det i passivt läge igen genom att följa stegen som beskrivs i Konfigurera ett reservdatacenter för katastrofåterställning.

(Valfritt) Avmontera ISO efter HDS-konfiguration

Standard-HDS-konfigurationen körs med ISO monterad. Men vissa kunder föredrar att inte lämna ISO-filer kontinuerligt monterade. Du kan avmontera ISO-filen efter att alla HDS-noder har hämtat den nya konfigurationen.

Du använder fortfarande ISO-filerna för att göra konfigurationsändringar. När du skapar en ny ISO eller uppdaterar en ISO via installationsverktyget måste du montera den uppdaterade ISO-filen på alla dina HDS-noder. När alla dina noder har registrerat konfigurationsändringarna kan du avmontera ISO-filen igen med den här procedur.

Innan du börjar

Uppgradera alla dina HDS-noder till version 2025.06.02.6983 eller senare.

1	Stäng av en av dina HDS-noder.
2	I vCenter Server Appliance väljer du HDS-noden.
3	Välj Redigera inställningar > CD/DVD enhet och avmarkera Datastore ISO-fil.
4	Slå på HDS-noden och se till att det inte finns några larm på minst 20 minuter.
5	Upprepa för varje HDS-nod i tur och ordning.

Felsök hybrid datasäkerhet

Visa varningar och felsök

En hybrid datasäkerhetsdistribution anses vara otillgänglig om alla noder i klustret inte kan nås, eller om klustret fungerar så långsamt att tidsgränsen för begäranden uppnås. Om användare inte kan nå ditt Hybrid Data Security-kluster upplever de följande symptom:

Nya utrymmen kan inte skapas (det går inte att skapa nya nycklar)
Meddelanden och rumstitlar misslyckas med att dekryptera för:
- Nya användare tillagda i ett utrymme (det gick inte att hämta nycklar)
- Befintliga användare i ett utrymme som använder en ny klient (kan inte hämta nycklar)
Befintliga användare i ett utrymme kommer att fortsätta fungera korrekt så länge deras klienter har en cache med krypteringsnycklarna

Det är viktigt att du övervakar ditt hybriddatasäkerhetskluster ordentligt och åtgärdar eventuella aviseringar omedelbart för att undvika avbrott i tjänsten.

Aviseringar

Om det uppstår problem med konfigurationen av Hybrid Data Security visar Partner Hub aviseringar till organisationsadministratören och skickar e-postmeddelanden till den konfigurerade e-postadressen. Aviseringarna täcker många vanliga scenarier.

Tabell 1. Vanliga problem och stegen för att lösa dem
Avisering	Åtgärd
Åtkomstfel i lokal databas.	Kontrollera om det finns databasfel eller problem med det lokala nätverket.
Fel på anslutning till den lokala databasen.	Kontrollera att databasservern är tillgänglig och att rätt autentiseringsuppgifter för tjänstkontot användes i nodkonfigurationen.
Fel på åtkomst till molntjänsten.	Kontrollera att noderna kan komma åt Webex-servrarna enligt anvisningarna i Krav för extern anslutning.
Förnyar registreringen för molntjänst.	Registreringen till molntjänster har tagits bort. Förnyelse av registreringen pågår.
Registreringen av molntjänsten har avbrutits.	Registreringen till molntjänster har avslutats. Tjänsten stängs ner.
Tjänsten är ännu inte aktiverad.	Aktivera HDS i Partner Hub.
Den konfigurerade domänen matchar inte servercertifikatet.	Se till att ditt servercertifikat matchar den konfigurerade domänen för tjänstaktivering. Den troligaste orsaken är att certifikatets CN nyligen ändrades och nu skiljer sig från det CN som användes under den första installationen.
Misslyckades med att autentisera mot molntjänster.	Kontrollera noggrannheten och eventuellt utgångsdatum för inloggningsuppgifter för servicekontot.
Misslyckades med att öppna den lokala nyckellagringsfilen.	Kontrollera integritet och lösenordsnoggrannhet på den lokala nyckellagringsfilen.
Det lokala servercertifikatet är ogiltigt.	Kontrollera servercertifikatets utgångsdatum och bekräfta att det utfärdades av en betrodd certifikatutfärdare.
Det gick inte att publicera mätvärden.	Kontrollera lokal nätverksåtkomst till externa molntjänster.
/media/configdrive/hds katalogen finns inte.	Kontrollera ISO-monteringskonfigurationen på den virtuella värden. Kontrollera att ISO-filen finns, att den är konfigurerad för att monteras vid omstart och att den monteras utan problem.
Installationen av hyresgästorganisationen är inte slutförd för de tillagda organisationerna.	Slutför installationen genom att skapa CMK:er för nyligen tillagda hyresgästorganisationer med hjälp av HDS Setup Tool.
Installationen av hyresgästorganisationen är inte slutförd för de borttagna organisationerna.	Slutför installationen genom att återkalla CMK:er för hyresgästorganisationer som togs bort med HDS-installationsverktyget.

Felsök hybrid datasäkerhet

Använd följande allmänna riktlinjer vid felsökning av problem med hybrid datasäkerhet.

1	Logga in på Partner Hub.
2	Från menyn till vänster på skärmen väljer du Tjänster.
3	I avsnittet Hybrid letar du upp Hybrid datasäkerhet och klickar på Händelser.
4	Granska händelsehistoriksidan för att se om det finns några varningar och åtgärda eventuella saker du hittar där. Se bilden nedan som referens.
5	Granska syslog-serverns utdata för aktivitet från Hybrid Data Security-distributionen. Filtrera efter ord som "Varning" och "Fel" för att underlätta felsökning.
6	Kontakta Cisco-support.

HDS-utvecklar-API:er

HDS Developer API:er är ett sätt att hämta analys- och övervakningsdata, samt felsöka dina HDS-distributioner via Webex Developer Portal. API:erna finns tillgängliga på https://developer.webex.com/messaging/docs/api/v1/hds.

Andra anteckningar

Kända problem för hybrid datasäkerhet

Om du stänger av alla dina aktiva Hybrid Data Security-kluster (genom att ta bort dem i Partner Hub eller genom att stänga av alla noder), förlorar din ISO-konfigurationsfil eller förlorar åtkomst till nyckeldatabasen, kan Webex-appanvändare av kundorganisationer inte längre använda utrymmen under sin personlista som skapades med nycklar från ditt KMS. Vi har för närvarande ingen lösning eller åtgärd för det här problemet och uppmanar er att inte stänga av era HDS-tjänster när de väl hanterar aktiva användarkonton.
En klient som har en befintlig ECDH-anslutning till ett KMS upprätthåller den anslutningen under en tidsperiod (troligen en timme).

Kör HDS Setup-verktyget med Podman Desktop

Podman är ett gratis och öppen källkodsverktyg för containerhantering som ger ett sätt att köra, hantera och skapa containrar. Podman Desktop kan laddas ner från https://podman-desktop.io/downloads.

HDS-konfigurationsverktyget används som en Docker-container på en lokal dator. För att komma åt den, ladda ner och kör Podman på den maskinen. Konfigurationsprocessen kräver autentiseringsuppgifterna för ett Control Hub-konto med fullständiga administratörsrättigheter för din organisation.

Om HDS-installationsverktyget körs bakom en proxy i din miljö, ange proxyinställningarna (server, port, autentiseringsuppgifter) via Docker-miljövariabler när du öppnar Docker-containern i steg 5. Den här tabellen ger några möjliga miljövariabler:

Beskrivning	Variabel
HTTP-proxyserver utan autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy utan autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxyserver med autentisering	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxyserver med autentisering	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfigurations-ISO-filen som du genererar innehåller huvudnyckeln som krypterar PostgreSQL- eller Microsoft SQL Server-databasen. Du behöver den senaste kopian av den här filen varje gång du gör konfigurationsändringar, som dessa:
- Databasuppgifter
- Certifikatuppdateringar
- Ändringar i auktoriseringspolicyn
Om du planerar att kryptera databasanslutningar, konfigurera din PostgreSQL- eller SQL Server-distribution för TLS.

Installationsprocessen för Hybrid Data Security skapar en ISO-fil. Sedan använder du ISO-filen för att konfigurera din Hybrid Data Security-värd.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Nästa steg

Följ de återstående stegen i Skapa en konfigurations-ISO för HDS-värdarna eller Ändra nodkonfigurationen för att skapa eller ändra ISO-konfigurationen.

Inaktivera molnagenter

Följ stegen nedan för att inaktivera molnagenter för din HDS-distribution.

Detta kommer att resultera i förlust av funktioner som inspelningar efter möten, transkriptioner, förhandsgranskningar av filer och automatiserad skanning efter skadlig kod i Webex App Spaces.

1	Starta HDS-installationsverktyget och följ stegen som anges i Skapa en konfigurations-ISO för HDS-värdarna. ISO-filen måste vara en kopia av den ursprungliga ISO-filen för det primära datacentret där följande konfigurationsuppdateringar ska göras.
2	När du har konfigurerat Syslogd-servern klickar du på Avancerade inställningar.
3	På sidan Avancerade inställningar lägger du till konfigurationen nedan för att inaktivera molnagenter. Detta säkerställer att molnagenter inte tillåts hantera HDS-trafik. `cloudAgentUpdateEnabled: 'false'`
4	Slutför konfigurationsprocessen och spara ISO-filen på en plats som är lätt att hitta.
5	Gör en säkerhetskopia av ISO-filen på ditt lokala system. Förvara säkerhetskopian säkert. Den här filen innehåller en huvudkrypteringsnyckel för databasens innehåll. Begränsa åtkomsten till endast de Hybrid Data Security-administratörer som ska göra konfigurationsändringar.
6	I VMware vSphere-klientens vänstra navigeringsfönster högerklickar du på den virtuella maskinen och klickar på Redigera inställningar..
7	Klicka på Redigera inställningar >CD/DVD Enhet 1 och välj ISO-fil för datalagring. Se till att Ansluten och Anslut vid strömpåslag är markerade så att uppdaterade konfigurationsändringar kan träda i kraft efter att noderna startats.
8	Slå på HDS-noden och se till att det inte finns några larm på minst 15 minuter.
9	Upprepa processen för varje nod i din HDS-distribution. Kontrollera att molnagenter är inaktiverade genom att kontrollera sysloggarna för följande post: 'Uppdatering av molnagent inaktiverad'.

Flytta den befintliga HDS-distributionen med en enda klientorganisation i Control Hub till en HDS-konfiguration med flera klienter i Partner Hub

Konverteringen från en befintlig HDS-distribution med en enda klientorganisation i en partnerorganisation som hanteras i Control Hub till en HDS-distribution med flera klienter som hanteras i Partner Hub innebär främst att inaktivera HDS-tjänsten i Control Hub, avregistrera noder och ta bort klustret. Du kan sedan logga in på Partner Hub, registrera noderna, aktivera Multi-Tenant HDS och lägga till kunder i ditt kluster.

Termen "enskild hyresgäst" hänvisar helt enkelt till en befintlig HDS-distribution i Control Hub.

Inaktivera HDS, avregistrera noder och ta bort alla kluster i Control Hub

1	Logga in på Control Hub. I den vänstra rutan klickar du på Hybrid. På Hybrid Data Security-kortet klickar du på Redigera inställningar.
2	På inställningssidan, skrolla ner till avsnittet Inaktivera och klicka på Inaktivera.
3	Efter avaktivering klickar du på fliken Resurser.
4	Sidan Resurser listar nedre kluster i din HDS-distribution. Klicka på ett kluster så öppnas en sida med alla noder under det klustret.
5	Klicka på till höger och klicka på Avregistrera nod. Upprepa processen för alla noder i klustret.
6	Om din distribution har flera kluster upprepar du steg 4 och steg 5 tills alla noder har avregistrerats.
7	Klicka på Klusterinställningar > Ta bort.
8	Klicka på Bekräfta borttagning för att avregistrera klustret.
9	Upprepa processen för alla kluster i din HDS-distribution. Efter HDS-deaktivering, avregistrering av noder och borttagning av kluster visas Installationen har inte slutförts längst ner på Hybrid Data Service-kortet på Control Hub.

Aktivera Multi-Tenant HDS för partnerorganisationen på Partner Hub och lägg till kunder

Innan du börjar

Alla förkunskapskrav som nämns i Krav för hybriddatasäkerhet för flera hyresgäster gäller här. Se dessutom till att samma databas och certifikat används under flyttningen till Multi-Tenant HDS.

1	Logga in på Partnerhubben. Klicka på Tjänster i den vänstra rutan. Använd samma ISO från din tidigare HDS-distribution för att konfigurera noderna. Detta säkerställer att meddelanden och innehåll som genererats av användarna i den tidigare befintliga HDS-distributionen fortfarande är tillgängliga i den nya Multi-Tenant-konfigurationen.
2	I avsnittet Hybrid letar du upp Hybrid Data Security-kortet och klickar på Konfigurera.
3	På sidan som öppnas klickar du på Lägg till en resurs.
4	I det första fältet på kortet Skapa ett kluster anger du ett namn för det kluster som du vill tilldela din Hybrid Data Security-nod. Vi rekommenderar att du namnger ett kluster baserat på var klustrets noder finns geografiskt. Exempel: "San Francisco" eller "New York" eller "Dallas"
5	I det andra fältet anger du den interna IP-adressen eller det fullständiga domännamnet (FQDN) för din nod och klickar på Lägg till längst ner på skärmen. Denna IP-adress eller FQDN ska matcha IP-adressen eller värdnamnet och domänen som du använde i Konfigurera den virtuella hybriddatasäkerhetsdatorn. Ett meddelande visas som anger att du kan registrera din nod i Webex.
6	Klicka på Gå till nod. Efter en liten stund omdirigeras du till nodens anslutningstester för Webex-tjänster. Om alla tester lyckas visas sidan Tillåt åtkomst till hybrid datasäkerhetsnod. Där bekräftar du att du vill ge din Webex-organisation behörighet att komma åt din nod.
7	Markera kryssrutan Tillåt åtkomst till din hybriddatasäkerhetsnod och klicka sedan på Fortsätt. Ditt konto har validerats och meddelandet "Registrering klar" indikerar att din nod nu är registrerad i Webex Cloud. På sidan Hybrid datasäkerhet visas det nya klustret som innehåller noden som du registrerade under fliken Resurser. Noden kommer automatiskt att ladda ner den senaste programvaran från molnet.
8	Gå till fliken Inställningar och klicka på Aktivera på HDS-statuskortet. MeddelandetAktiverad HDS visas längst ner på skärmen.
9	Klicka på fliken Tilldelade kunder.
10	Klicka på Lägg till kunder.
11	Välj den kund du vill lägga till från rullgardinsmenyn.
12	Klicka på Lägg tillså läggs kunden till i klustret.
13	Upprepa steg 11 till 13 för att lägga till flera kunder i ditt kluster.
14	Klicka på Klar längst ner på skärmen när du har lagt till kunderna.

Nästa steg

Kör HDS-installationsverktyget enligt beskrivningen i Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget för att slutföra installationsprocessen.

Använd OpenSSL för att generera en PKCS12-fil

Innan du börjar

OpenSSL är ett verktyg som kan användas för att skapa PKCS12-filen i rätt format för laddning i HDS Setup Tool. Det finns andra sätt att göra detta, och vi varken stöder eller främjar det ena sättet framför det andra.
Om du väljer att använda OpenSSL tillhandahåller vi den här proceduren som en riktlinje för att hjälpa dig skapa en fil som uppfyller X.509-certifikatkraven i X.509-certifikatkrav. Förstå dessa krav innan du fortsätter.
Installera OpenSSL i en miljö som stöds. Se https://www.openssl.org för programvara och dokumentation.
Skapa en privat nyckel.
Starta den här proceduren när du får servercertifikatet från din certifikatutfärdare (CA).

1	När du får servercertifikatet från din CA, spara det som `hdsnode.pem`.
2	Visa certifikatet som text och verifiera uppgifterna. `openssl x509 -text -noout -in hdsnode.pem`
3	Använd en textredigerare för att skapa en certifikatpaketfil med namnet `hdsnode-bundle.pem`. Paketfilen måste innehålla servercertifikatet, eventuella mellanliggande CA-certifikat och rot-CA-certifikaten, i formatet nedan: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Skapa .p12-filen med det vänliga namnet `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Kontrollera informationen om servercertifikatet. `openssl pkcs12 -in hdsnode.p12` Ange ett lösenord vid prompten för att kryptera den privata nyckeln så att den listas i utdata. Kontrollera sedan att den privata nyckeln och det första certifikatet innehåller raderna `friendlyName: kms-private-key`. Exempel: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Nästa steg

Återgå till Slutför förutsättningarna för hybrid datasäkerhet. Du kommer att använda hdsnode.p12 -filen och lösenordet du har angett för den i Skapa en konfigurations-ISO för HDS-värdarna.

Du kan återanvända dessa filer för att begära ett nytt certifikat när det ursprungliga certifikatet löper ut.

Trafik mellan HDS-noderna och molnet

Utgående mätvärden Insamling av trafik

Hybriddatasäkerhetsnoderna skickar vissa mätvärden till Webex-molnet. Dessa inkluderar systemmått för max heap, heapanvändning, CPU-belastning och trådantal; mått på synkrona och asynkrona trådar; mått på aviseringar som involverar ett tröskelvärde för krypteringsanslutningar, latens eller en begärandekölängd; mått på datalagret; och mått på krypteringsanslutningar. Noderna skickar krypterat nyckelmaterial över en out-of-band (separat från begäran) kanal.

Inkommande trafik

Hybriddatasäkerhetsnoderna tar emot följande typer av inkommande trafik från Webex-molnet:

Krypteringsförfrågningar från klienter, som dirigeras av krypteringstjänsten
Uppgraderingar av nodprogramvaran

Konfigurera squid-proxyservrar för Hybrid-datasäkerhet

WebSocket kan inte ansluta via squid proxy

Squid-proxyservrar som inspekterar HTTPS-trafik kan störa upprättandet av websocket-anslutningar (wss:) som Hybrid Data Security kräver. Dessa avsnitt ger vägledning om hur man konfigurerar olika versioner av Squid för att ignorera wss: -trafik för att tjänsterna ska fungera korrekt.

Squid 4 och 5

Lägg till direktivet on_unsupported_protocol till squid.conf:

on_unsupported_protocol tunnel all

Squid-3.5.27

Vi testade framgångsrikt hybrid datasäkerhet med följande regler tillagda till squid.conf. Dessa regler kan ändras när vi utvecklar funktioner och uppdatera Webex Cloud.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

1	På din dators kommandorad anger du lämpligt kommando för din miljö: I vanliga miljöer: `podman rmi ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `podman rmi ciscocitg/hds-setup-fedramp:stable` Detta steg rensar tidigare bilder av HDS-konfigurationsverktygen. Om det inte finns några tidigare bilder visas ett fel som du kan ignorera.
2	För att logga in på Docker-bildregistret anger du följande: `podman login docker.io -u hdscustomersro`
3	Vid lösenordsupp prompten anger du detta hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Hämta den senaste stabil bild för din miljö: I vanliga miljöer: `podman pull ciscocitg/hds-setup:stable` I FedRAMP-miljöer: `podman pull ciscocitg/hds-setup-fedramp:stable`
5	När pull-in är slutförd anger du lämpligt kommando för din miljö: I vanliga miljöer utan proxy: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTP-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I vanliga miljöer med en HTTPS-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` I FedRAMP-miljöer utan proxy: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTP-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` I FedRAMP-miljöer med en HTTPS-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` När behållaren körs ser du "Expressserverlyssning på port 8080".

Cisco AI Assistant

Tack för din feedback.

Ny och ändrad information

Ny och ändrad information

Inaktivera hybriddatasäkerhet för flera hyresgäster

Flöde för inaktivering av HDS för flera hyresgäster

Vanliga frågor

Vanliga frågor

F. Lagras CMK:erna och huvudnyckeln i ISO:n eller i databasen?

F. Används en enda nyckel för att kryptera all data från kundorganisationer?

F. Vad händer om jag inaktiverar HDS från Partner Hub?

F. När CMK:n har genererats för en kundorganisation via HDS-installationsverktyget, börjar användarna av kundorganisationen omedelbart använda Multi-Tenant HDS?

F. Varför ser jag inte en lista över kunder när jag klickar på knappen "Lägg till kunder" i Partner Hub?

F. Vilken effekt har det om alla HDS-noder stängs av eller om ett nätverksproblem påverkar alla HDS-noder?

F. Är partnerorganisationens användardata krypterade med huvudnyckeln som genererades under ISO-skapandet?

F. Kan partnerorganisationen och hyresgästorganisationerna finnas i olika regioner (t.ex. USA och EU)?

F. Finns det någon mekanism för att flytta nycklar tillbaka till Cloud KMS?

F. Kan en partner fortsätta använda Cloud KMS och använda Multi-Tenant HDS exklusivt för att hantera kunder?

F. Hur kan en partner verifiera att deras organisation använder Multi-Tenant HDS för kryptering?

F. Finns det ett alternativ till Docker Desktop för att köra HDS-installationsverktyget?

F. Hur många noder kan jag distribuera i ett HDS-kluster med flera hyresgäster?

F. Vilka nätverkskrav krävs för att konfigurera en HDS med flera hyresgäster?

F. Är Pro Pack för Control Hub ett krav för partnerorganisationer?

F. Stöds HSM i HDS med flera hyresgäster?

F. Kan jag testa Multi-Tenant HDS med ett självsignerat certifikat?

F. Behövs ISO-koden monteras varje gång en ny kund läggs till i Partner Hub?

F. När Multi-Tenant HDS har distribuerats på Partner Hub, börjar användare av partnerorganisationen använda lokala KMS för nyckelhantering?

Kom igång med hybrid datasäkerhet för flera hyresgäster

Översikt över hybrid datasäkerhet för flera hyresgäster

Hur hybrid datasäkerhet med flera hyresgäster ger datasuveränitet och datakontroll

Begränsningar för hybriddatasäkerhet med flera hyresgäster

Roller inom hybrid datasäkerhet med flera hyresgäster

Arkitektur inom säkerhetsområdet

Samarbete med andra organisationer

Förväntningar för implementering av hybrid datasäkerhet

Övergripande installationsprocess

Hybrid datasäkerhetsdistributionsmodell

Standby-datacenter för katastrofåterställning

Konfigurera ett reservdatacenter för katastrofåterställning

Proxy-Support

Exempel på data säkerhets noder och proxy för Hybrid

Blockerat externt DNS-matchningsfel (uttryckliga proxy-konfigurationer)

Förbered din miljö

Krav för hybrid datasäkerhet med flera hyresgäster

Cisco Webex-licenskrav

Krav för Docker-skrivbordet

Krav för X.509-certifikat

Krav för virtuella värdar

Krav för databasserver

Ytterligare krav för Windows-autentisering mot Microsoft SQL Server

Krav för extern anslutning

Proxy Server krav

Slutför förutsättningarna för hybrid datasäkerhet

Konfigurera ett hybrid-datasäkerhetskluster

Uppgiftsflöde för distribution av hybriddatasäkerhet

Utför den första installationen och ladda ner installationsfilerna

Skapa en konfigurations-ISO för HDS-värdarna

Installera HDS Host OVA

Konfigurera den virtuella hybriddatasäkerhetsdatorn

Ladda upp och montera HDS-konfigurations-ISO:n

Konfigurera HDS-noden för proxy-integrering

Registrera den första noden i klustret

Skapa och registrera fler noder

Hantera hyresgästorganisationer med hybrid datasäkerhet för flera hyresgäster

Aktivera HDS för flera hyresgäster på Partner Hub

Lägg till hyresgästorganisationer i Partner Hub

Skapa kundhuvudnycklar (CMK) med hjälp av HDS-installationsverktyget

Ta bort hyresgästorganisationer

Återkalla CMK:er för hyresgäster som tagits bort från HDS.

Testa din hybriddatasäkerhetsdistribution

Testa din hybrida datasäkerhetsdistribution

Övervaka hybriddatasäkerhetshälsa

Hantera din HDS-distribution

Hantera HDS-distribution

Ställ in schema för klusteruppgradering

Ändra nodkonfigurationen

Inaktivera blockerad extern DNS-Matchningstid

Ta bort en nod

Katastrofåterställning med hjälp av Standby Data Center

(Valfritt) Avmontera ISO efter HDS-konfiguration