Посібник із розгортання гібридної безпеки даних для кількох орендарів (HDS)

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
30 липня 2026 року	Оновлено розділ Вимоги до сертифіката X.509, щоб вказати, що підтримуються лише сертифікати RSA.
2 липня 2026 року	Додано розділ «Вимкнути хмарні агенти».
23 червня 2026 року	Додано розділ «Інтерпретація журналів HDS та розуміння міток агентів».
1 червня 2026 року	Додано розділ API розробників HDS. Додано примітку до розділу Запуск інструмента налаштування HDS за допомогою Podman Desktop.
16 квітня 2026 року	Оновлено вимоги до сервера бази даних для додавання підтримки PostgreSQL версій 17 та 18.
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча організації-партнери контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Центрі керування.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, уповноважений виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

***Сфери розділення (без гібридної безпеки даних)***

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

До відновлення після відмови центр обробки даних A має активні вузли HDS та основну базу даних PostgreSQL або Microsoft SQL Server, тоді як B має копію ISO-файлу з додатковими конфігураціями, віртуальні машини, зареєстровані в організації, та резервну базу даних. Після відновлення після відмови, центр обробки даних B має активні вузли HDS та основну базу даних, тоді як A має незареєстровані віртуальні машини та копію ISO-файлу, а база даних знаходиться в режимі очікування. — ***Ручне перемикання на резервний центр обробки даних***

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Діаграма, що показує приклад з'єднання між гібридною системою безпеки даних, мережею та проксі-сервером.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Партнерські організації: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.
Підтримуваний алгоритм	Підтримуються лише сертифікати RSA.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 або 18, встановлений та запущений.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL	Microsoft SQL Server
Драйвер Postgres JDBC 42.2.5	Драйвер JDBC для SQL Server версії 4.6 Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій організації не ввімкнено HDS у Центрі керування, та отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте OVA-файл на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережі та виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Інтерпретація журналів HDS та розуміння міток агентів

Журнали HDS надають детальну інформацію щодо запитів KMS. Ці журнали містять різні поля, які допомагають визначити характер запиту та пов’язану з ним особу. Розуміння цих полів є важливим для правильної інтерпретації діяльності та надійних внутрішніх операцій.

Термінологія

Для забезпечення ясності під час перегляду журналів HDS важливо розуміти такі терміни:

Строк	Визначення
Обліковий запис служби	Ідентифікатор служби, який дозволяє службам Webex безпечно виконувати авторизовані дії.
Оператор	Ідентифікатор сервісної сутності або сервісного облікового запису, що використовується для виконання автоматизованих операцій у середовищі HDS.
Мітка агента	Тег, що міститься в журналах HDS, який ідентифікує конкретне джерело та тип вхідного запиту, що дозволяє проводити ефективний аудит контролю доступу.
Делегований доступ	Авторизований обліковий запис служби, що робить запит для певного користувачав межах дозволів цього користувача. Відображається як запит на делегування: `agent -> userid`.

Термін «Агент» у цьому контексті стосується саме ідентифікаторів служб HDS. Вони не пов’язані з агентами на базі штучного інтелекту, що використовуються в інших функціях Webex.

Запит обслуговується лише коли він походить з:

автентифікований користувач у вашій організації, або
обліковий запис служби, який знаходиться у вашій організації та авторизований нею.

Огляд полів журналу

Поле	Що це являє собою
Позначка часу	Дата та час операції.
kms.data.method	Виконана операція KMS (наприклад, отримання).
kms.data.orgld	Ідентифікатор організації.
kms.data.httpUserAgent	Клієнт або служба, що робить запит.
WEBEX_Ідентифікатор відстеження	Унікальний ідентифікатор відстеження для запиту.
kms.data.uriHost / kms.data.uri	Хост і ресурс, на які спрямований запит.
kms.data.userld	Ідентифікатор, що виконує запит, включаючи мітку агента.
kms.response.success	Вказує, чи запит було виконано успішно.

Типи запитів – короткий довідник

Тег у журналі	Мітка агента	Що це являє собою	Типові операції
Тип користувача: агент користувача	User Agent	Довірений обліковий запис служби, пов’язаний із робочим процесом користувача, що діє в межах вашої організації.	Creating/managing ключі для користувацького процесу.
o-агент <id> -> ідентифікатор користувача <id>	Агент організації	Обліковий запис довіреної служби на рівні організації з делегованим доступом.	Вилучення даних Webex відповідальним за дотримання вимог, інтеграція календарів.
c-агент <id> -> ідентифікатор користувача <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит для певного користувача.	Сканування на віруси, попередній перегляд контенту, транскрипти.
c-агент <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит.	Екологічна освіта та освіта (ECDHE) / ключі сеансу.
UUID кінцевого користувача	-	Автентифікований кінцевий користувач взаємодіє з HDS.	Користувач, який отримує свій власний ключ.

Типи запитів – детальніше

Мітки агентів класифікують джерело запиту та допомагають визначити відповідні засоби контролю доступу. У наведених нижче прикладах демонструється кілька типів запитів та пов’язані з ними мітки агентів.

Агент користувача (userAgent):

Це довірені облікові записи служби Webex, пов’язані з певними робочими процесами користувачів і обмежені організацією клієнта. Зазвичай вони використовуються, коли служба створює та керує ключами від імені робочого процесу користувача.

Зразок журналу:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент користувача (userAgent) виконує операції збору ресурсів для служби Webex.
Організаційний агент (o-агент):

Ці довірені облікові записи служби Webex уповноважені виконувати делеговані операції від імені користувачів у HDS. Ці облікові записи, що обмежені організацією клієнта, виконують операції на рівні організації. Ця функція підтримує кілька функцій, таких як надання співробітникам з дотримання вимог можливості пошуку та вилучення даних зв'язку Webex, що забезпечує відповідність організації нормативним вимогам, стандартам безпеки та конфіденційності даних.

Зразок журналу:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент організації (o-agent 9[~]c) отримує ключ від імені користувача (4[~]b) для служби Webex.
Хмарний агент (c-agent):
Ці довірені облікові записи служби Webex мають право виконувати операції на HDS через делегований доступ від імені користувача. Вони підтримують важливі функції, такі як записи після зустрічей, стенограми, сканування на наявність шкідливого програмного забезпечення та попередній перегляд файлів, що покращують загальний користувацький досвід.

Хоча хмарних агентів можна вимкнути, змінивши ISO-образ, клієнти повинні знати, що це призведе до втрати функцій, таких як записи після зустрічей, стенограми, попередній перегляд файлів та автоматичне сканування на наявність шкідливого програмного забезпечення в Webex App Spaces. Для отримання додаткової інформації див. розділ Вимкнення хмарних агентів.

Зразок журналу:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як хмарний агент (c-agent b[~]c) отримує ключ вмісту від імені користувача (9[~]c).

Пряма взаємодія кінцевого користувача:

Автентифікований користувач, який безпосередньо взаємодіє з HDS.

Зразок журналу:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключовий індикатор: У зразку журналу показано кінцевого користувача (c[~]f), який отримує ключ та безпосередньо взаємодіє з HDS.

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини для оновлення пароля.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли не можна створити (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

API розробників HDS

API розробників HDS – це спосіб отримання аналітичних даних та даних моніторингу, а також усунення несправностей розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Вимкнення хмарних агентів

Хмарні агенти (c-agent) – це довірені облікові записи служби Webex, які виконують операції на HDS через делегований доступ від імені користувача для покращення загального користувацького досвіду. Вимкнення хмарних агентів блокує доступ служб Webex до локальних ключів HDS.

Вимкнення хмарних агентів призведе до втрати таких функцій, як записи після зустрічей, стенограми, попередній перегляд файлів та автоматичне сканування на наявність шкідливого програмного забезпечення у Webex App Spaces.

Виконайте наведені нижче дії, щоб вимкнути хмарні агенти для розгортання HDS.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування.
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб вимкнути хмарні агенти. Це гарантуватиме, що хмарним агентам не буде дозволено обробляти трафік HDS. `cloudAgentUpdateEnabled: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла у вашому розгортанні HDS. Перевірте системні журнали на наявність такого запису, щоб переконатися, що хмарні агенти вимкнено: «Оновлення хмарного агента вимкнено».

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати багатокористувацьку HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Партнерські організації: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується Choose або Newline.
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'яти місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть Далі.
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно налаштовувати домен так, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли кластера були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережі та виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост `http://127.0.0.1:8080`та введіть ім’я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли створити неможливо (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

Ця таблиця охоплює нові функції або функціональні можливості, зміни існуючого вмісту та будь-які основні помилки, які були виправлені в П осібнику з розгортання гібридної безпеки даних для кількох орен дарів.

Дата	Внесені зміни
Жовтень 01, 2026	Додано міграцію вузлів HDS між підтримуваними розділами гіпервізорів.
Вересень 21, 2026	Додана підтримка гіпервізора програмного забезпечення інфраструктури віртуалізації корпоративних мережевих функцій Cisco (NFVIS) у вимогах вірту ального хоста. Додана підтримка гіпервізора Nutanix у вимогах до вірту ального хоста. Додано розгортання та налаштування HDS у розділі NFVIS. Додано розгортання та налаштування HDS на розділі Nutanix. Оновлені процедури у всьому посібнику, щоб включити інструкції щодо розгортання NFVIS та Nutanix. Переміщен о розділ Центр обробки даних у режимі очікування для відновлення після аварійного завершення роботи в розділі Керування розгортанням HDS.
Серпень 31, 2026	Вилучено вимогу увімкнення функції для кількох орендарів із розділу Вимоги до Cisco Webexліцензії.
Серпень 28, 2026	Додано критичне попередження в О чікуваннях щодо розгортання гібридного захисту даних про те, що міграція з багатоквартирного гібридного захисту даних на хмарний KMS Webex не підтримується, а виведення HDS з експлуатації призведе до втрати доступу до існуючих зашифрованих даних.
Липень 30, 2026	Оновлено розділ Ви моги до сертифікатів X.509, щоб вказати, що підтримуються лише сертифікати RSA.
Липень 02, 2026	Додано розділ «Відключити хмарні аген ти».
23 червня 2026 р.	Додано розділ Інтерпретація журналів HDS та розуміння міток агентів.
01 червня 2026	Додано розділ API розробників HD S. Додано примітку до За пустити інструмент налаштування HDS за допомогою розділу Podman Desktop.
Квітень 16, 2026	Оновлені вимоги до сервера бази даних для додавання підтримки для PostgreSQL версій 17 і 18.
25 березня 2026	Оновлено пароль за замовчуванням, який використовується для входу в віртуальну машину вузла Гібридного захисту даних.
05 Грудня, 2025	Оновлено Створити ISO конфігурації для хостів HDS з правиль ним текстом інтерфейсу користувача на сторінці Системні журнали та додано інструкцію для завантаження кореневого сертифіката syslog під час налаштування шифрування TLS.
Листопад 21, 2025	Дод ано розділ Часті запитання. Додано Налаштування резервного центру обробки даних для аварійного відновлення та аварі йного відновлення за допомогою розділів Центру обробки даних у режимі очікування. Вилучено (бета-версія) із заголовка посібника з розгортання.
08 травня 2025 р.	Додано Перемістити існуюче розгортання HDS для одного орендаря партнерської організації в Контрольному центрі до налаштування HDS для кількох орендарів у розділі Partner Hub. Оновлено виведення syslog для покращення читабельності в розділі Тестування розгортання гібридної безпеки даних. Оновлені вимоги до віртуального хо ста, гібридний потік завдань розгортання безпеки даних та встановлення HDS Host OVA для додавання підтримки ESXi 8.0.
Березень 04, 2025	Додано Запустити інструмент налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до робочого столу Docker, що надає клієнтам альтернативну опцію з відкритим кодом. Оновлено Створіть ISO конфігурації для хостів HDS та змініть конфігурацію вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
Січень 30, 2025	Додано SQL сервер версії 2022 до списку підтримуваних серверів SQL у вимогах до сервера бази даних.
Січень 15, 2025	Додані обмеження безпеки гібридних даних для кількох орен дарів.
Січень 08, 2025	Додано примітку в розділі Виконати початкове налаштування та завантажити інсталяційні файли із зазначенням, що нати скання кнопки Налаштувати на картці HDS у Partner Hub є важливим кроком процесу встановлення.
Січень 07, 2025	Оновлені вимоги віртуального хо ста, гібридний потік завдань розгортання безпеки даних та встановлення HDS Host OVA, щоб показати нові вимоги ESXi 7.0.
Грудень 13, 2024	Вперше опубліковано.

Почніть роботу з гібридною безпекою даних для кількох орендарів

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основною увагою при розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування вмісту, яке увімкнено клієнтами Webex App, які взаємодіють із Службою керування ключами (KMS). KMS відповідає за створення та управління криптографічними ключами, які клієнти використовують для динамічного шифрування та розшифровки повідомлень та файлів.

За замовчуванням всі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмар ному KMS, у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не має ключів до вашого зашифрованого вмісту.

Гібридна безпека даних для кількох орен дарів дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати в якості постачальника послуг та керувати локальним шифруванням та іншими службами безпеки. Ця настройка дозволяє організації-партнеру мати повний контроль над розгортанням та управлінням ключами шифрування та гарантує безпеку даних користувачів організацій-клієнтів від зовнішнього доступу. Організації-партнери налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати декілька організацій-клієнтів, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль над розгортанням та управлінням, вони не мають доступу до даних та вмісту, створених клієнтами. Цей доступ обмежений організаціями-клієнтами та їх користувачами.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, як-от центри обробки даних, належать надійному місцевому партнеру.

Як багатоквартирна гібридна безпека даних забезпечує суверенітет даних та контроль даних

Контент, створений користувачами, захищений від зовнішнього доступу, як постачальники хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо це надається партнером.
Підтримує вміст нарад, обміну повідомленнями та дзвінками.

Цей документ спрямований на допомогу організаціям-партнерам у створенні та управлінні клієнтами в рамках системи гібридної безпеки даних для кількох орендарів.

Обмеження безпеки гібридних даних для кількох орендарів

Організації-партнери не повинні мати активного розгортання HDS у Центрі керування.
Організації орендарів або клієнтів, які бажають керувати ними партнер, не повинні мати існуючого розгортання HDS у Центрі керування.
Після того, як партнер розгортає HDS для кількох орендарів, усі користувачі організацій-клієнтів, а також користувачі партнерської організації починають використовувати HDS Multi-Tenant для своїх служб шифрування.

Організація-партнер і клієнтські організації, якими вони керують, матимуть однакове розгортання HDS для кількох орендарів.

Організація-партнер більше не буде використовувати хмарний KMS після розгортання HDS для кількох орендарів.
Немає механізму переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в безпеці гібридних даних для кількох орендарів

Повний адміністратор партнер а - може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Можна також призначати ролі адміністратора існуючим користувачам в організації та призначати конкретних клієнтів, якими керують адміністратори-партнери.
Адміністратор партнер а - може керувати налаштуваннями для клієнтів, яких адміністратор надав або які були призначені користувачеві.
Повний адміністратор - Адміністратор організації-партнера, який уповноважений виконувати такі завдання, як зміна налаштувань організації, управління ліцензіями та призначення ролей.

Налаштування та управління HDS Multi-Tenant для всіх організацій-клієнтів від кінця до кінця - Потрібні повні права адміністратора партнера та Повні права адміністратора.
Управління призначеними організаціями-орендар ями - Потрібні права адміністратора партнера та Повні права адміністратора.

Архітектура сфери безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі сфери або домени довіри, як показано нижче.

***Сфери поділу (без гібридної безпеки даних)***

Щоб краще зрозуміти гібридну безпеку даних, давайте спочатку подивимося на цей чистий хмарний кейс, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від сфери, де в кінцевому підсумку зберігається зашифрований вміст, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача, і він пройшов аутентифікацію за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання на пробіл, виконуються наступні дії:

Клієнт встановлює безпечне з'єднання зі службою управління ключами (KMS), потім запитує ключ для шифрування повідомлення. Безпечне з'єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується до того, як воно покине клієнт. Клієнт надсилає його службі індексації, яка створює зашифровані пошукові індекси, щоб допомогти в майбутніх пошуках вмісту.
Зашифроване повідомлення надсилається службі відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається у сховищі.

Коли ви розгортаєте гібридну безпеку даних, ви переміщуєте функції сфери безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні сервіси, що складають Webex (включаючи зберігання ідентифікацій та вмісту), залишаються у сферах Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати додаток Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли хтось із ваших користувачів запитує ключ для простору, який належить вашій організації (оскільки він був створений одним із ваших користувачів), ваш KMS надсилає ключ клієнту через захищений ECDH канал. Однак, коли інша організація володіє ключем для простору, ваш KMS спрямовує запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідного KMS, а потім повертає ключ вашому користувачеві на вихідному каналі.

Служба KMS, що працює на Org A, перевіряє з'єднання з KMS в інших організаціях за допомогою сертифікатів x.509 PKI. Доклад ніші відомості про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних для кількох орендарів див. у розділі Підготовка середовища.

Очікування щодо впровадження гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних із володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Захищений центр обробки даних у країні, яка є підтримуваним місцем для Cisco Webex Teamsплан ів.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата або ISO конфігурації, яку ви створили для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа перешкоджає користувачам розшифровувати вміст простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керуйте резервним копіюванням та відновленням бази даних та конфігурацією ISO.
Будьте готові до швидкого відновлення після аварії, якщо трапиться катастрофа, наприклад, збій диска бази даних або аварія в центрі обробки даних.

Міграція з багатоквартирного гібридного захисту даних (HDS) на хмарний KMS Webex не підтримується. Виведення HDS з експлуатації призведе до втрати доступу до вмісту та даних, попередньо зашифрованих цими ключами. Ви повинні зберегти HDS, щоб зберегти доступ до існуючого зашифрованого вмісту.

Процес налаштування високого рівня

Цей документ охоплює налаштування та управління розгортанням гібридної безпеки даних для кількох орендарів:

Налаштування гібридної безпеки даних — це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення для гібридної безпеки даних, побудову кластера HDS, додавання організацій-орендарів до кластера та управління основними ключами клієнтів (CMK). Це дозволить всім користувачам ваших організацій-клієнтів використовувати кластер Hybrid Data Security для функцій безпеки.

Фази налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та залучити підтримку Cisco за потреби. Ви можете використовувати сповіщення на екрані та налаштовувати сповіщення на основі електронної пошти в Partner Hub.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей та відомими пробле мами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток Відомі проблеми можуть допомогти вам визначити та виправити проблему.

Модель розгортання гібридної безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли спілкуються з хмарою Webex через захищені веб-сокети та захищений HTTP.

Під час інсталяції ми надаємо вам файл OVA для налаштування віртуального пристрою на віртуальних машин, які ви надаєте. Інструмент налаштування HDS використовується для створення власного ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви можете налаштувати дані про підключення Syslogd та бази даних у Інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які ви можете мати в кластері, становить два. Ми рекомендуємо принаймні три на кластер. Наявність декількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або іншої діяльності з обслуговування вузла. (Хмара Webex оновлює лише один вузол одночасно.)

Усі вузли в кластері отримують доступ до одного і того ж сховища даних ключів і реєструють активність на одному сервері syslog. Самі вузли не мають статусу і обробляють ключові запити в круговому режимі, відповідно до вказівок хмари.

Вузли стають активними, коли ви реєструєте їх у партнерському центрі. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його з реєстрації, а пізніше перезареєструвати, якщо це необхідно.

Підтримка проксі

Гібридна безпека даних підтримує явну, прозору перевірку та неперевірку проксі-сервера. Ви можете прив'язати ці проксі-сервери до свого розгортання, щоб ви могли захистити та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для керування сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Вузли гібридної безпеки даних підтримують такі параметри проксі-сервера:

Немає прок сі-сервера — типове значення, якщо ви не використовуєте налаштування вузла HDS для інтеграції проксі-сервера для зберігання довіри та проксі. Оновлення сертифіката не потрібно.
Прозорий проксі-сервер, який не перевіряє — вузли не налаштовані на використання певної адреси проксі-сервера і не повинні вимагати жодних змін для роботи з проксі-сервером, який не перевіряє. Оновлення сертифіката не потрібно.
Прозоре тунелювання або перевірка проксі -сервера — вузли не налаштовані на використання певної адреси проксі-сервера. Зміни конфігурації HTTP або HTTPS у вузлах не потрібні. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Проксі-сервери, що перевіряють, зазвичай використовуються ІТ для забезпечення політики щодо того, які веб-сайти можна відвідувати, а які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер —За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему аутентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію по кожному вузлу:
1. Проксі IP/FQDN — Адреса, яку можна використовувати для доступу до проксі-машини.
2. Про@@ ксі-порт — номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Проксі-протокол - Залежно від того, що підтримує ваш проксі-сервер, виберіть один з наступних протоколів:
  - HTTP — переглядає та контролює всі запити, які надсилає клієнт.
  - https — надає канал для сервера. Клієнт отримує і перевіряє сертифікат сервера.
4. Тип аутенти фікації — Виберіть один із наступних типів аутентифікації:
  - Немає. Подальша аутентифікація не потрібна.
    
    Доступно, якщо ви вибрали HTTP або HTTPS як протокол проксі-сервера.
  - Basic — Використовується для агента користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо ви вибрали HTTP або HTTPS як протокол проксі-сервера.
    
    Потрібно ввести ім'я користувача та пароль на кожному вузлі.
  - Дайдже ст —Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію на ім'я користувача та пароль перед відправкою по мережі.
    
    Доступно лише в тому випадку, якщо ви вибрали HTTPS як протокол проксі-сервера.
    
    Потрібно ввести ім'я користувача та пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних та проксі

Ця діаграма показує приклад з'єднання між гібридною безпекою даних, мережею та проксі. Для проксі-сервера прозорої перевірки та явної перевірки HTTPS один і той же кореневий сертифікат повинен бути встановлений на проксі-сервері та на вузлах гібридної безпеки даних.

Diagram showing an example connection between the Hybrid Data Security, network and a proxy.

Заблокований режим зовнішнього вирішення DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS та підключення до Cisco Webex хмари. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокованої зовнішньої розв'язки DNS. У цьому режимі може тривати реєстрація вузлів та інші тести підключення проксі-сервера.

Підготуйте своє оточення

Вимоги до безпеки гібридних даних для кількох орендарів

Cisco Webex Вимоги до ліцензії

Щоб розгорнути гібридну безпеку даних для кількох орендарів:

Організації орендарів: Ви повинні мати Pro Pack дляCisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібен Docker Desktop для запуску програми налаштування. Docker нещодавно оновив свою модель ліцензування. Вашій організації може знадобитися платна підписка на Docker Desktop. Для отримання детальної інформації див. Допис у блозі Docker «Docker оновлює та розширює підписки на наші продукти ».

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, як-от Podman Desktop, для запуску, керування та створення контейнерів. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

X.509 Вимоги до сертифіката

Ланцюжок сертифікатів повинен відповідати наступним вимогам:

Таблиця 1. Вимоги до сертифікату X.509 для розгортання гібридної безпеки даних
вимога	Подробиці
Підписано довіреною особ Certificate Authority ою (CA)	За замовчуванням ми довіряємо CA у списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я загального імені (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є сертифікатом підстановки	CN не повинен бути доступним або живим господарем. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com.` CN не повинен містити символі* (символ підстановки). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той же сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях X.509v3 SAN. Після того, як ви зареєстрували вузол з цим сертифікатом, ми не підтримуємо зміну доменного імені CN.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки з'єднань з KMS інших організацій.
Відформатовано як захищений паролем файл PKCS #12 Використовуйте дружню назву `kms-private-key`, щоб позначити сертифікат, приватний ключ та будь-які проміжні сертифікати для завантаження.	Ви можете використовувати конвертер, такий як OpenSSL, щоб змінити формат сертифіката. Вам потрібно буде ввести пароль під час запуску HDS Setup Tool.
Підтримується алгоритм	Підтримуються лише сертифікати RSA.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікатів вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключів, наприклад автентифікація сервера. Добре використовувати аутентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуватимете як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хости (рекомендується 3) розміщені в одному захищеному центрі обробки даних
Підтримувані гіпервізори:
- VMware ESXi 7.0 або 8.0.
- Програмне забезпечення інфраструктури віртуалізації корпоративних мережевих функцій Cisco (NFVIS) версії 26.2.1.
- Нутанікс АОС 7.5.х з Nutanix AHV 11.0.x.
Мінімум 4 vCPU, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервері.

Вимоги до сервера баз даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Існує два варіанти сервера баз даних. Вимоги до кожного такі:

Таблиця 2. Вимоги до сервера баз даних за типом бази даних
PostgreSQL	Сервер Microsoft SQL
PostgreSQL 14, 15, 16, 17 або 18, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (корпоративний або стандартний). Для SQL Server 2016 потрібні пакет оновлень 2 та сукупне оновлення 2 або новішої версії.
Мінімум 8 vCPU, 16 Гб основної пам'яті, достатній простір на жорсткому диску та моніторинг, щоб переконатися, що він не перевищується (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшувати сховище)	Мінімум 8 vCPU, 16 Гб основної пам'яті, достатній простір на жорсткому диску та моніторинг, щоб переконатися, що він не перевищується (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшувати сховище)

Програмне забезпечення HDS наразі встановлює наступні версії драйверів для зв'язку з сервером бази даних:

PostgreSQL

Сервер Microsoft SQL

Драйвер JDBC Постгрес 42.2.5

Драйвер JDBC-сервера SQL 4.6

Ця версія драйверів підтримує SQL Server Always On («Завжди включені екзе мпляри кластера з відмовою» та групи доступності «Завжди включено»).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до бази даних сховища ключів на Microsoft SQL Server, вам потрібна наступна конфігурація у вашому середовищі:

Вузли HDS, Active Directory інфраструктура та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до читання/запису до бази даних.
Сервери DNS, які ви надаєте вузлам HDS, повинні мати можливість розв'язати ваш Центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на своєму Microsoft SQL Server як основне ім'я служби (SPN) на своєму. Active Directory Див. Реєстрація головного імені служби для з'єднань Kerberos.

Інструмент налаштування HDS, запуск HDS та локальний KMS повинні використовувати аутентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують деталі з вашої конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити наступне підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Пункт призначення
Гібридні вузли безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости загальної ідентичності Інші URL-адреси, перелічені для захисту гібридних даних у таблиці Додаткові URL-адреси для гібридних служб Webex у М ережевих вимогах для служб We bex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости загальної ідентичності хаб.докер.com

Вузли гібридної безпеки даних працюють з перекладом мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє здійснювати необхідні вихідні з'єднання з пунктами призначення домену в попередній таблиці. Для з'єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 та 22 для адміністративних цілей.

URL-адреси хостів спільної ідентичності (CI) залежать від регіону. Це поточні хости CI:

Регіон	Загальні URL-адреси хоста ідентифікації
Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канади	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
ОАЕ	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі-пристрій веб-безпеки Cisco (WSA).
- Явний проксі—кальмар.
  
  Проксі-сервери Squid, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з'єднань з веб-сокетом (wss:). Щоб вирішити цю проблему, див. розділ Налаштування про ксі-серверів Squid для захисту гібридних даних.
Ми підтримуємо наступні комбінації типів аутентифікації для явних проксі-серверів:
- Відсутність аутентифікації за допомогою HTTP або HTTPS
- Базова аутентифікація за допомогою HTTP або HTTPS
- Аутентифікація дайджесту лише за допомогою HTTPS
Для прозорого оглядового проксі-сервера або явного проксі-сервера HTTPS у вас повинна бути копія кореневого сертифіката проксі-сервера. Інструкції з розгортання, наведені в цьому посібнику, розповідають, як завантажити копію до сховищ довіри вузлів гібридної безпеки даних.
Мережа, яка розміщує вузли HDS, повинна бути налаштована так, щоб примусово маршрутизувати вихідний TCP-трафік на порту 443 через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникне, обхід (не перевірка) трафіку на wbx2.com і ciscospark.com вирішить проблему.

Виконайте передумови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові встановити та налаштувати кластер гібридного захисту даних.

1	Переконайтеся, що у вашій організації не ввімкнено HDS у Центрі керування, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що у вашій організації клієнтів Webex увімкнено Pro Pack дляCisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера облікового запису, щоб отримати допомогу з цим процесом. Організації-замовники не повинні мати існуючого розгортання HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, приватний ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів повинен відповідати вимогам вимог до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Вам потрібно щонайменше два окремих хости (рекомендовано 3) розміщені в одному захищеному центрі обробки даних, які відповідають вимогам у Вимогах віртуального хоста.
4	Підготуйте сервер бази даних, який буде виконувати роль сховища ключових даних для кластера відповідно до вимог сервера бази даних. Сервер бази даних повинен бути розміщений у захищеному центрі обробки даних з віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.) Зберіть деталі, які вузли використовуватимуть для зв'язку з сервером бази даних: ім'я хоста або IP-адреса (хост) і порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма привілеями на базі даних зберігання ключів
5	Для швидкого відновлення після аварії налаштуйте середовище резервного копіювання в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера баз даних. Наприклад, якщо у виробництві є 3 віртуальні машини з вузлами HDS, у середовищі резервного копіювання має бути 3 віртуальні машини.
6	Налаштуйте хост syslog для збору журналів з вузлів у кластері. Зберіть його мережеву адресу та порт syslog (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера баз даних та хост syslog. Як мінімум, щоб запобігти невідновленій втраті даних, необхідно створити резервну копію бази даних та файлу ISO конфігурації, створеного для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування вмісту, невиконання оперативного розгортання призведе до НЕВІДНОВЛЮВАН ОЇ ВТРАТИ цього вмісту. Клієнти Webex App кешують свої ключі, тому відключення може бути помітним не відразу, але з часом стане очевидним. Хоча тимчасові відключення неможливо запобігти, вони підлягають відновленню. Однак повна втрата (немає резервних копій) або бази даних або файлу ISO конфігурації призведе до невідновлення даних клієнта. Очікується, що оператори вузлів Hybrid Data Security підтримуватимуть часті резервні копії бази даних та файлу ISO конфігурації та будуть готові відновити центр обробки даних Hybrid Data Security, якщо трапиться катастрофічний збій.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключати вузли гібридної безпеки даних, як зазначено у Вимогах зовнішнього підключення.
9	Встановіть Docker (https://www.docker.com) на будь-якій локальній машині з підтримуваною ОС (Microsoft Windows10 Professional або Enterprise 64-bit або Mac OSX Yosemite 10.10.3 або вище) за допомогою веб-браузера, який може отримати доступ до нього за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, вам знадобиться ліцензія Docker Desktop. Докладніші відомості див. у розділі Вимоги до робочого столу Docker. Щоб встановити та запустити Інструмент налаштування HDS, локальний комп'ютер повинен мати підключення, зазначене у Вимогах зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер з гібридною безпекою даних, переконайтеся, що він відповідає вимогам проксі-сервера.

Налаштування гібридного кластера безпеки даних

Потік завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на локальну машину для подальшого використання.
2	Створіть ISO конфігурації для хостів HDS Скористайтеся Інструментом налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановіть HDS Host OVA Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Налаштування мережевих налаштувань під час розгортання OVA підтримується лише на ESXi 7.0 та 8.0. Для розгортання NFVIS див. розділ Встановлення OVA хоста HDS на NF VIS. Для розгортання Nutanix див. розділ Встановлення HDS Host OVA на Nut anix
4	Налаштування віртуальної машини з гібридною безпекою даних Увійдіть у консоль віртуальної машини та встановіть облікові дані для входу. Налашту йте параметри мережі для вузла, якщо ви не налаштували їх під час розгортання OVA. Для розгортання NFVIS див. розділ Налаштування віртуальної машини з гібридною безпекою даних на NF VIS. Для розгортання Nutanix див. розділ Створення віртуальної машини з гібридною безпекою даних на Nutanix
5	Завантажте та монтуйте ISO конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, створеного за допомогою HDS Setup Tool. Для розгортання NFVIS див. статтю Завантаження та змонтування ISO конфігурації HDS. Для розгортання Nutanix див. Завантаження та змонтування ISO кон фігурації HDS
6	Налаштування вузла HDS для інтеграції проксі-сервера Якщо мережеве середовище вимагає конфігурації проксі-сервера, вкажіть тип проксі-сервера, який ви будете використовувати для вузла, і додайте сертифікат проксі-сервера до сховища довіри, якщо це необхідно.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину Cisco Webex в хмарі як гібридний вузол безпеки даних.
8	Створюйте та реєструйте більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS для кількох орендарів у партнерському центрі. Активуйте HDS та керуйте організаціями орендарів у Partner Hub.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп'ютер (а не на сервери, які ви налаштували як вузли гібридної безпеки даних). Цей файл ви використовуєте пізніше в процесі інсталяції.

1	Увійдіть у Партнерський центр, а потім натисніть Служби.
2	У розділі Гібрид знайдіть карту безпеки гібридних даних, а потім натисніть кнопку Налаштувати. Натискання кнопки Налаш тувати в Partner Hub має вирішальне значення для процесу розгортання. Не продовжуйте установку, не виконуючи цей крок.
3	Натисніть кнопку Додати ресурс і натисніть Завантажити файл.OVA на карт ці «В становити та налаштувати програмне забезпечення». Старі версії програмного пакета (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію файлу OVA. Ви також можете завантажити OVA в будь-який час з розділу Довід ка. Натисніть Налаш тування > Довід ка > Завантажити програмне забезпечення для гібридної безпеки даних. Файл OVA автоматично починає завантажуватися. Збережіть файл у місці на вашому комп'ютері.

Створіть ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

Перш ніж почати

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете використовувати Podman Desktop для запуску інструменту налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без аутентифікації

ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT

HTTPS-проксі без аутентифікації

ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-проксі з аутентифікацією

ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з аутентифікацією

ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку комп'ютера введіть відповідну команду для вашого середовища:

У звичайних умовах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.

2

Щоб увійти в реєстр образів Docker, введіть наступне:

docker login -u hdscustomersro

3

У рядку введення пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних умовах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Коли витяг завершиться, введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з HTTP-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах з проксі-сервер HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTP-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з проксі-сервер HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веб-браузером, щоб перейти до localhost, http://127.0.0.1:8080, і введіть ім'я користувача адміністратора для Партнерського центру під запитом.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.

7

Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.

8

На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Н і. Якщо ви створюєте свій перший вузол HDS, у вас немає файлу ISO для завантаження.
Так. Якщо ви вже створили вузли HDS, виберіть файл ISO в браузері та завантажте його.

10

Переконайтеся, що ваш сертифікат X.509 відповідає вимогам вимог до сертифікатів X.509.

Якщо раніше ви ніколи не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть кнопку Продов жити.
Якщо ваш сертифікат в порядку, натисніть кнопку Про довжити.
Якщо термін дії сертифіката закінчився або ви хочете його замінити, виберіть Ні для пункту Про дов жити використання ланцюжка сертифікатів HDS та приватного ключа з попереднього ISO? . Завантажте новий сертифікат X.509, введіть пароль і натисніть кнопку Продов жити.

11

Введіть адресу бази даних та обліковий запис HDS для доступу до вашого ключового сховища даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви вибере те Microsoft SQL Server, ви отримаєте поле Тип автентифікації.
(Ли ше Microsoft SQL Server) Виберіть тип автентифікації:
- Базова автенти фікація: вам потрібно ім'я локального облікового запису SQL Server в полі Ім'я користувача.
- Аутентифікація Windows: Вам потрібен обліковий запис Windows у форматі ім'я користувача @DOMAIN у полі Ім'я користувача.
Введіть адресу сервера бази даних у формі: <hostname><port>або: <IP-address><port>.

Приклад:
dbhost.example. org: 1433 або 198,51,100. 17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для розпізнавання імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повністю кваліфіковане доменне ім'я у форматі db host.example.org:1433
Введіть ім'я бази даних.
Введіть ім'я користувача та пароль користувача з усіма привілеями на базі даних зберігання ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддайте перевагу TLS (параме тр за замовчуванням)	Вузли HDS не потребують TLS для підключення до сервера бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з'єднання.
Вимагати TLS	Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS.
Вимагайте TLS та перевірте підписанта сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS. Після встановлення з'єднання TLS вузол порівнює підписанта сертифіката з сервера бази даних з органом сертифікатів у кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під розкривним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагайте TLS та перевірте підписанта сертифіката та ім'я хоста	Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS. Після встановлення з'єднання TLS вузол порівнює підписанта сертифіката з сервера бази даних з органом сертифікатів у кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з'єднання. Вузли також перевіряють, що ім'я хоста в сертифікаті сервера відповідає імені хоста в полі хост і порт бази даних. Імена повинні точно збігатися, інакше вузол припиняє з'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під розкривним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (якщо необхідно) і натискаєте кнопку Про довжити, Інструмент налаштування HDS перевіряє з'єднання TLS з сервером бази даних. Інструмент також перевіряє підписанта сертифіката та ім'я хоста, якщо це можливо. Якщо перевірка не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку та продовжувати налаштування. (Через відмінності в підключенні вузли HDS можуть встановити з'єднання TLS, навіть якщо верстат HDS Setup Tool не зможе успішно перевірити його.)

13

На сторінці Системні журнали налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер не може розв'язуватися DNS-вузлами для вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp: //10.92.43. 23:514 вказує на вхід на хост Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштований ваш сервер для переговорів/рукостискання TLS? .

Якщо встановити цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, наприклад tcp: //10.92.43. 23:514, і завантажте кореневий сертифікат syslog.
У спадному меню Вибрати завершення запису syslog виберіть відповідний параметр для вашого файлу ISO: Вибрати або Новий рядок використовується для Graylog та Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -\ n - Виберіть цей вибір для Graylog та Rsyslog TCP.
Натисніть «Продовжити».

14

(Необов'язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткових налаштуваннях. Як правило, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть кнопку Продов жити на екрані Скинути пароль облікових запи сів служби.

Паролі облікових записів служби мають дев'ятимісячний термін служби. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб визнати недійсними попередні файли ISO.

16

Натисніть Завантажити файл ISO. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію файлу ISO у вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.

18

Щоб вимкнути інструмент «Налаштування», введіть CTRL+C.

Що робити далі

Створіть резервну копію конфігураційного файлу ISO. Він потрібен для створення більшої кількості вузлів для відновлення або внесення змін у конфігурацію. Якщо ви втратите всі копії файлу ISO, ви також втратили головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливо.

Ми ніколи не маємо копії цього ключа і не можемо допомогти, якщо ви його втратите.

Встановіть HDS Host OVA

Скористайтеся цією процедурою, щоб створити віртуальну машину з файлу OVA.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Встановлення OVA хоста HDS на NF VIS.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Встановлення HD S Host OVA на Nut anix.

1	Використовуйте клієнт VMware vSphere на своєму комп'ютері для входу в віртуальний хост ESXi.
2	Виберіть «Файл» > «Розгорнути шаблон OVF».
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку Далі.
4	На сторінці Ви брати ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, «HDS_Node_1"), виберіть місце, де може розміщуватися розгортання вузла віртуальної машини, а потім натисніть кнопку Далі.
5	На сторінці Ви брати обчислювальний ресурс виберіть цільовий обчислювальний ресурс, а потім натисніть кнопку Далі. Запускається перевірка валідації. Після його закінчення з'являються деталі шаблону.
6	Перевірте деталі шаблону, а потім натисніть кнопку Далі.
7	Якщо вам буде запропоновано вибрати конфігурацію ресурсу на сторінці Кон фігура ція, натисніть 4 CPU, а потім натисніть кнопку Далі.
8	На сторінці Ви брати схови ще натисніть кнопку Далі, щоб прийняти стандартний формат диска та політику зберігання віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Н алаштування шабло ну налаштуйте наступні параметри мережі: Ім'я вуз ла — введіть FQDN (ім'я хоста та домен) або одне слово ім'я вузла. Вам не потрібно встановлювати домен так, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише символи малих літер у FQDN або імені хоста, які ви встановили для вузла. На даний момент капіталізація не підтримується. Загальна довжина FQDN не повинна перевищувати 64 символів. IP-адреса — Введіть IP-адресу для внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та ім'я DNS. DHCP не підтримується. Маска — введіть адресу маски підмережі в точково-десятковому позначенні. Наприклад, 255.255.255.0. Шлю з —Введіть IP-адресу шлюзу. Шлюз - це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери — введіть список DNS-серверів, розділений комами, які обробляють переклад доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери - Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, для введення декількох серверів NTP. Розгортайте всі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію мережевих налаштувань і виконати дії в розділі Н алаштування віртуальної машини з гібридного захисту даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих налаштувань під час розгортання OVA була протестована за допомогою ESXi 7.0 та 8.0. Опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть пункт «Жив лення» > «Увімк нення Програмне забезпечення гібридної безпеки даних встановлюється як гостьова система на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправ У вас може виникнути затримка на кілька хвилин до того, як з'являться контейнери вузлів. Повідомлення брандмауера Bridge з'являється на консолі під час першого завантаження, під час якого ви не можете ввійти.

Налаштування віртуальної машини з гібридною безпекою даних

Скористайтеся цією процедурою, щоб вперше увійти в консоль віртуальної машини вузла Гібридного захисту даних і встановити облікові дані для входу. Ви також можете скористатися консоллю для налаштування мережевих налаштувань вузла, якщо ви не налаштували їх під час розгортання OVA.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Налаштування віртуальної машини з гібридною безпекою даних на NFVIS.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Створення віртуальної машини з гібридною безпекою даних на Nutanix.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Гібридної безпеки даних і виберіть вкладку Кон соль. ВМ завантажується і з'являється запит на вхід. Якщо не відображається запит на вхід, натисніть Enter.
2	Для входу та зміни облікових даних використовуйте такі типові логін та пароль: Логін: `адмін` Пароль: ци `скосистеми` Оскільки ви входите в систему віртуальної машини вперше, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установці HDS Host OVA, пропустіть решту цієї процедури. В іншому випадку в головному меню виберіть параметр Реда гувати конфігура цію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією DNS. Ваш вузол повинен мати внутрішню IP-адресу та ім'я DNS. DHCP не підтримується.
5	(Необов'язково) Змініть ім'я хоста, домен або сервери NTP, якщо потрібно відповідати вашій мережевій політиці. Вам не потрібно встановлювати домен так, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни вступили в силу.

Завантажте та монтуйте ISO конфігурації HDS

Скористайтеся цією процедурою, щоб налаштувати віртуальну машину з файлу ISO, створеного за допомогою HDS Setup Tool.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Завантаження та змонтування ISO конфігурації HD S.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Завантаження та змонтування конфігурації HDS ISO.

Перш ніж почати

Оскільки файл ISO містить головний ключ, його слід відкривати лише на основі «потрібно знати» для доступу віртуальних машин з гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внесення змін. Переконайтеся, що доступ до сховища даних мають лише ті адміністратори.

1

Завантажте файл ISO зі свого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку «Обладнання» на вкладці Конфігурація натисніть С ховище.
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і натисніть кнопку Огляд сховища даних.
Натисніть на значок Завантажити файли, а потім натисніть Завантажити файл.
Перейдіть до місця, де ви завантажили файл ISO на свій комп'ютер, і натисніть Відкрити.
Натисніть кнопку Так, щоб прийняти попередження про операцію завантаження/завантаження та закрийте діалогове вікно зберігання даних.

2

Змонтуйте файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Реда гувати налаштування.
Натисніть кнопку OK, щоб прийняти попередження про обмеження параметрів редагування.
Натисніть Привід CD/DVD 1, виберіть параметр монтування з файлу ISO сховища даних та перейдіть до місця, куди ви завантажили файл ISO конфігурації.
Перевір те Під ключення та Підключення при включенні живлення.
Збережіть зміни і перезавантажте віртуальну машину.

Що робити далі

Якщо це вимагає ваша ІТ-політика, ви можете необов'язково демонтувати файл ISO після того, як усі ваші вузли приймуть зміни конфігурації. Докладніші відомості див. у розділі (Додатково) Демонтування ISO після конфігурації HDS.

Налаштування вузла HDS для інтеграції проксі-сервера

Якщо мережеве середовище вимагає проксі-сервера, скористайтеся цією процедурою, щоб вказати тип проксі-сервера, який потрібно інтегрувати з гібридною безпекою даних. Якщо ви вибрали прозорий проксі-сервер для перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити з'єднання проксі-сервера з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Огляд підтрим уваних параметрів проксі-сервера див. Підтримка проксі-сервера.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS IP або FQDN] /setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Довірчого магазину та прок сі, а потім виберіть опцію: Без проксі -сервера — параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібно. Прозорий неперевірений проксі-сервер — вузли не налаштовані на використання певної адреси проксі-сервера і не повинні вимагати жодних змін для роботи з проксі-сервером, який не перевіряє. Оновлення сертифіката не потрібно. Прозора перевірка проксі-сервера — вузли не налаштовані на використання певної адреси проксі-сервера. Зміни конфігурації HTTPS не потрібні для розгортання гібридної безпеки даних, однак вузли HDS потребують кореневого сертифіката, щоб вони довіряли проксі-серверу. Проксі-сервери, що перевіряють, зазвичай використовуються ІТ для забезпечення політики щодо того, які веб-сайти можна відвідувати, а які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер — за допомогою явного проксі-сервера ви повідомляєте клієнту (вузли HDS), який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після того, як ви виберете цей варіант, необхідно ввести наступну інформацію: Проксі IP/FQDN — Адреса, яку можна використовувати для доступу до проксі-машини. Про@@ ксі-порт — номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол — Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал серверу, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип аутенти фікації — Виберіть один із наступних типів аутентифікації: Немає. Подальша аутентифікація не потрібна. Доступно для проксі-серверів HTTP або HTTPS. Basic — Використовується для агента користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі-серверів HTTP або HTTPS. Якщо ви виберете цю опцію, ви також повинні ввести ім'я користувача та пароль. Дайдже ст —Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію на ім'я користувача та пароль перед відправкою по мережі. Доступно лише для проксі-серверів HTTPS. Якщо ви виберете цю опцію, ви також повинні ввести ім'я користувача та пароль. Виконайте наступні кроки для прозорого проксі-сервера для перевірки, явного проксі-сервера HTTP з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Натисніть кнопку Завантажити кореневий сертифікат або сертифікат кінцевої сут ності, а потім перейдіть до пункту виберіть кореневий сертифікат для проксі-сервера. Сертифікат завантажений, але ще не встановлений, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврон біля імені видавця сертифіката, щоб отримати докладнішу інформацію, або натисніть Ви дал ити, якщо ви допустили помилку і хочете повторно завантажити файл.
4	Натисніть Перевірити підключення до проксі-сервера, щоб перевірити мережеве підключення між вузлом і проксі-сервером. Якщо перевірка підключення не вдається, ви побачите повідомлення про помилку, яке показує причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішнє вирішення DNS не було успішним, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол буде функціонувати в режимі Blocked External DNS Resolution. Якщо ви вважаєте, що це помилка, виконайте ці дії, а потім перегляньте розділ Вимк нення блокованого зовнішнього режиму розв'язання DNS.
5	Після проходження тесту підключення для явного проксі-сервера, встановленого лише на https, увімкніть перемикач на Мар шрутизувати всі запити HTTPS порту 443/444 з цього вузла через явний проксі-сер вер. Ця настройка вимагає 15 секунд, щоб вступити в силу.
6	Натисніть кнопку Встановити всі сертифікати в сховище дові ри (з'являється для явного проксі-сервера HTTPS або прозорого проксі-сервера для перевірки) або Пере завантажити (з'являється для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку В станов ити, якщо ви готові. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла ввійдіть знову, якщо потрібно, а потім відкрийте сторінку «О гляд», щоб перевірити перевірку підключення, щоб переконатися, що всі вони мають зелений статус. Перевірка підключення до проксі-сервера тестує лише субдомен webex.com. Якщо є проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях щодо встановлення, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере загальний вузол, який ви створили в налаштуванні віртуальної машини з гібридною безпекою даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після того, як ви почнете реєстрацію вузла, ви повинні завершити його протягом 60 хвилин або ви повинні почати спочатку.
Переконайтеся, що блокування спливаючих вікон у вашому браузері вимкнено або дозволяєте виключення для admin.webex.com.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть кнопку Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі С творити нову картку кластер а введіть назву кластера, якому потрібно призначити вузол гібридного захисту даних. Рекомендуємо назвати кластер залежно від того, де вузли кластера розташовані географічно. Приклади: «Сан-Франциско» або «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Дод ати внизу екрана. Ця IP-адреса або FQDN має відповідати IP-адресі або імені хосту та домену, які ви використовували в Н алаштування віртуальної машини з гібридною безпекою даних. З'явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати вашій організації Webex дозволи на доступ до вашого вузла.
8	Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку «Гібридна безпека даних партнерського центру». На сторінці «Гібридна безпека даних» новий кластер, що містить зареєстрований вами вузол, відображається на вкладці «Ре сурси». Вузол автоматично завантажить новітнє програмне забезпечення з хмари.

Створюйте та реєструйте більше вузлів

Щоб додати додаткові вузли до вашого кластера, ви просто створюєте додаткові віртуальні машини і монтуєте той самий файл конфігурації ISO, а потім реєструєте вузол. Ми рекомендуємо мати не менше 3 вузлів.

Перш ніж почати

Після того, як ви почнете реєстрацію вузла, ви повинні завершити його протягом 60 хвилин або ви повинні почати спочатку.
Переконайтеся, що блокування спливаючих вікон у вашому браузері вимкнено або дозволяєте виключення для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки в розділі Встановлення HDS Host OVA.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки в розділі Н алаштування віртуальної машини з гібридною безпекою даних.
3	На новій віртуальній машині повторіть дії в розділі Завантаження та змонтування ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть дії в розділі Н алаштування вузла HDS для інтеграції проксі-сервера, якщо це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служ би з меню зліва на екрані. У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть Переглянути все. З'явиться сторінка Ресурси гібридної безпеки даних. Новостворений кластер з'явиться на сторінці Ре сурси. Клацніть на кластері, щоб переглянути вузли, призначені для кластеру. Натисніть Додати вузол праворуч на екрані. Введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати організації дозвіл на доступ до вашого вузла. Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку «Гібридна безпека даних партнерського центру». Спливаюче повідомлення, додане вуз лом, також з'являється внизу екрана в Partner Hub. Ваш вузол зареєстрований.

Що робити далі

Щоб створити додаткові кластери, увійдіть у Партнерський центр і натисніть Служби > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте дії, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів за допомогою гібридної безпеки даних для кількох орендарів

Активуйте HDS для кількох орендарів у партнерському центрі

Це завдання гарантує, що всі користувачі організацій-клієнтів можуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера HDS для кількох орендарів з необхідною кількістю вузлів.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Ре дагувати налаштування.
4	Натисніть Активувати HDS на картці статусу HDS.

Додавання організацій-орендарів у Partner Hub

У цьому завданні ви призначаєте організації-клієнтів до вашого гібридного кластеру безпеки даних.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієн ти. Вклад ка Призначені клієн ти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого хочете додати, зі спадного меню.
7	Натисніть Дод ати, клієнт буде доданий до кластеру.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до вашого кластеру.
9	Натис ніть Готово внизу екрана після додавання клієнтів. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що робити далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як описано в розділі Додавання організацій-орендарів у центрі партнер ів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих організацій-клієнтів.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

1	У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.
2	Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro`
3	У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веб-браузером, щоб перейти до localhost, `http://127.0.0.1:8080`, і введіть ім'я користувача адміністратора для Партнерського центру під запитом. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.
7	Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.
8	На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.
9	На сторінці Імпорт ISO натисніть кнопку Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вклад ку Управління КМК орен дарів, де ви знайдете наступні три способи управління КМК орендарів. Створити CMK для всіх ОРГАНІЗАЦІЙ або С творити CMK - Натисніть на цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх нещодавно доданих організацій. Натисніть кнопку Керування CM K у правій частині екрана та натисніть Створити CMK, щоб створити CM K для всіх нещодавно доданих організацій. Клацніть біля статусу керування CMK в очікуванні певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з управління CMK в очікуванні на кероване CM K.
13	Якщо створення CMK не вдалося, відобразиться помилка.

Видалення організацій орендарів

Перш ніж почати

Після видалення користувачі організацій-клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі простори. Перш ніж видаляти організації-клієнтів, зв'яжіться зі своїм партнером Cisco або менеджером облікових записів.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Переглянути всі.
4	На сторінці, що відкриється, натисніть вкладку При значені клієн ти.
5	У списку організацій-клієнтів, які відображаються, натисніть праворуч від організації клієнта, яку ви хочете видалити, і натисніть Видалити з кластера.

Що робити далі

Завершіть процес видалення, скасувавши КМК організацій-замовників, як це детально описано в розділі Від кликати КМК орендарів, видалених з HDS.

Відкликати КМК орендарів, видалених з HDS.

Перш ніж почати

Видалення клієнтів, як описано в розділі Видалення організацій орендарів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій-клієнтів, які були видалені.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

1	У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.
2	Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro`
3	У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веб-браузером, щоб перейти до localhost, `http://127.0.0.1:8080`, і введіть ім'я користувача адміністратора для Партнерського центру під запитом. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.
7	Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.
8	На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.
9	На сторінці Імпорт ISO натисніть кнопку Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вклад ку Управління КМК орен дарів, де ви знайдете наступні три способи управління КМК орендарів. Відкликати CMK для всіх ОРГ або Відкли кати CMK - Натисніть на цю кнопку на банері у верхній частині екрана, щоб відкликати CMK всіх організацій, які були видалені. Натисніть кнопку Керування C MM у правій частині екрана та натисніть Скасувати CMK, щоб відкликати КМ К усіх організацій, які були видалені. Клацніть біля КМК для відкликання статусу конкретної організації в таблиці і натисніть Відкликати КМК, щоб відкли кати КМК для цієї конкретної організації.
12	Після успішного скасування CMK організація замовника більше не відображатиметься в таблиці.
13	Якщо відкликання CMK не вдається, відобразиться помилка.

Перевірте розгортання гібридної безпеки даних

Скористайтеся цією процедурою для перевірки сценаріїв шифрування гібридної безпеки даних для кількох орендарів.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох орендарів.
Переконайтеся, що у вас є доступ до системного журналу, щоб переконатися, що ключові запити передаються до розгортання гібридної безпеки даних для кількох орендарів.

1

Клавіші для заданого простору встановлюються творцем простору. Увійдіть у програму Webex як один із користувачів організації-замовника, а потім створіть простір.

Якщо ви деактивуєте розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення в новий простір.

3

Перевірте вихід syslog, щоб переконатися, що ключові запити передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач нещодавно доданої організації-замовника виконує будь-яку дію, ідентифікатор організації з'явиться в журналах, і це може бути використано для перевірки того, що організація використовує HDS для кількох орендарів. Перевірте значення kms.data.orgID в системах.

Щоб перевірити, чи користувач спочатку встановив захищений канал до KMS, відфільтруйте за kms.data.method=create та kms.dat a.type=ephemeral_key_collection:

Ви повинні знайти такий запис, як наступний (ідентифікатори скорочені для читабельності):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує існуючий ключ з КМС, відфільтруйте за kms.data.method=та kms.dat a.type=key:

Ви повинні знайти такий запис, як:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити користувача, який запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.dat a.type=KEY_COLLECTION:

Ви повинні знайти такий запис, як:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи є користувач, який вимагає створення нового об'єкта ресурсу KMS (KRO) під час створення простору або іншого захищеного ресурсу, відфільтруйте за параметрами kms.data.method=create та kms. data.type=Resource_Collection:

Ви повинні знайти такий запис, як:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Інтерпретація журналів HDS та розуміння міток агентів

Журнали HDS надають детальну інформацію щодо запитів KMS. Ці журнали містять різні поля, які допомагають визначити характер запиту та пов'язану особу. Розуміння цих полів має важливе значення для правильної інтерпретації діяльності та надійних внутрішніх операцій.

Термінологія

Щоб забезпечити чіткість при перегляді журналів HDS, важливо розуміти такі терміни:

Термін	визначення
Сервісний рахунок	Ідентифікація служби, яка дозволяє службам Webex безпечно виконувати авторизовані дії.
Агент	Ідентифікація суб'єкта обслуговування або облікового запису служби, що використовується для виконання автоматизованих операцій у середовищі HDS.
Етикетка агента	Тег, включений у журнали HDS, який ідентифікує конкретне джерело та тип вхідного запиту, що забезпечує ефективний аудит контролю доступу.
Делегований доступ	Авторизований обліковий запис служби, який робить запит на певного користувача в межах дозволів цього користувача. З'являється як запит делег ування: `агент -> userid`.

Термін «Агент» в цьому контексті стосується конкретно ідентифікацій служб HDS. Вони не пов'язані з агентами на базі штучного інтелекту, які використовуються в інших функціях Webex.

Запит подається тільки тоді, коли він походить від:

автентифікованого користувача у вашій організації, або
облі ковий запис служби, який знаходиться у вашій організації та авторизований нею.

Огляд полів журналу

Поле	Що він представляє
Часова мітка	Дата і час проведення операції.
кмс. дані. Метод	Виконана операція KMS (наприклад, отримання).
кмс.дата.орглд	Ідентифікатор організації.
KMS.Data.HttpUserАгент	Клієнт або служба, що робить запит.
WEBEX_TRACKINGID	Унікальний ідентифікатор відстеження запиту.
Кмс.Дата.УріХост/кмс.дата.урі	Хост і ресурс, орієнтований на запит.
кмс.дата.userld	Ідентифікація, що виконує запит, включаючи мітку агента.
кмс.відповідь.успіх	Вказує, чи успішний запит.

Типи запитів - Коротка довідка

Тег в журналі	Етикетка агента	Що він представляє	Типові операції
Тип користувача: UserAgent	Агент користувача	Довірений обліковий запис служби, прив'язаний до робочого процесу користувача, визначений для вашої організації.	Створення/керування ключами для користувацького процесу.
o-агент <id>-> ідентифікатор користувача <id>	Організаційний агент	Обліковий запис довіреної служби на рівні організації з використанням делегованого доступу.	Видобуток даних Webex співробітником з комплаєнсу, інтеграція календаря.
c-агент <id>-> ідентифікатор користувача <id>	Хмарний агент	Служба Webex, яка виконує делегований запит для певного користувача.	Сканування вірусів, попередній перегляд вмісту, стенограми.
c-агент <id>	Хмарний агент	Служба Webex, яка виконує делегований запит.	ECDHE/ключі сеансу.
UUID кінцевого користувача	-	Аутентифікований кінцевий користувач, який взаємодіє з HDS.	Користувач отримує власний ключ.

Типи запитів - Докладно

Мітки агента класифікують джерело запиту та допомагають визначити відповідні елементи керування доступом. Наведені нижче приклади демонструють декілька типів запитів та мітки агентів, пов'язані з ними.

Агент користувача (UserAgent):

Це довірені облікові записи служб Webex, пов'язані з певними робочими процесами користувачів і охоплюються організації-замовником. Зазвичай вони використовуються, коли служба створює та керує ключами від імені робочого процесу користувача.

Зразок журналу:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує агента користувача (UserAgent), який виконує операції зі збору ресурсів для служби Webex.
Організаційний агент (o-агент):

Ці довірені облікові записи служб Webex уповноважені виконувати делеговані операції від імені користувачів у HDS. Розраховані на організацію-замовника, ці облікові записи виконують операції на рівні організації. Ця функціональність підтримує кілька функцій, таких як надання офіцерам з дотримання вимог можливості шукати та витягувати дані зв'язку Webex - забезпечуючи організаційне узгодження з нормативними нормативними стандартами, стандартами безпеки та конфіденційності даних.

Зразок журналу:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує агент організації (o-agent 9 [~] c), який отримує ключ від імені користувача (4 [~] b) для служби Webex.
Хмарний агент (c-агент):
Ці довірені облікові записи служб Webex уповноважені виконувати операції з HDS через делегований доступ від імені користувача. Вони підтримують основні функції - такі як записи після наради, стенограми, сканування проти шкідливих програм та попередній перегляд файлів, що покращують загальний досвід користувача.

Хоча хмарні агенти можна вимкнути шляхом зміни ISO, клієнти повинні знати, що це призведе до втрати функціональних можливостей, таких як записи після наради, стенограми, попередній перегляд файлів та автоматичне сканування проти шкідливих програм у Webex App Spaces. Докладніші відомості див. у розділі Вимкнення хмарних аген тів.

Зразок журналу:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує хмарний агент (c-agent b [~] c), який отримує ключ вмісту від імені користувача (9 [~] c).

Пряма взаємодія кінцевого користувача:

Автентифікований користувач, який безпосередньо взаємодіє з HDS.

Зразок журналу:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключовий індикатор: Зразок журналу показує кінцевого користувача (c [~] f), який отримує ключ і безпосередньо взаємодіє з HDS.

Моніторинг стану гібридної безпеки даних

Індикатор стану в Partner Hub показує, чи все добре з розгортанням гібридної безпеки даних для кількох орендарів. Щоб отримати більш активні сповіщення, підпишіться на сповіщення електронною поштою. Ви будете отримувати сповіщення, коли з'являться тривоги, що впливають на сервіс, або оновлення програмного забезпечення.

1	У Партнер ському центрі виберіть Служби в меню ліворуч на екрані.
2	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Ре дагувати налаштування. З'явиться сторінка Параметри безпеки гібридних даних.
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте завдання, описані тут, щоб керувати розгортанням гібридної безпеки даних.

Встановити графік оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконується автоматично на рівні кластера, що гарантує, що всі вузли завжди працюють на одній версії програмного забезпечення. Оновлення проводяться відповідно до розкладу оновлення для кластера. Коли оновлення програмного забезпечення стане доступним, у вас є можливість вручну оновити кластер до запланованого часу оновлення. Ви можете встановити певний графік оновлення або використовувати графік за замовчуванням 3:00 щодня США: Америка/Лос-Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб встановити графік оновлення:

1	Увійдіть у Партнерський центр.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Н алаштувати
4	На сторінці Ресурси гібридної безпеки даних виберіть кластер.
5	Натисніть на вкладку Параметри кластер а.
6	На сторінці Параметри кластера в розділі «Розклад оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітка: Під часовим поясом відображається наступна доступна дата та час оновлення. Ви можете відкласти оновлення на наступний день, якщо потрібно, натиснувши Від класти на 24 години.

Змініть конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з таких причин, як:

Зміна сертифікатів x.509 через закінчення терміну дії або з інших причин.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати оригінальному домену, який використовувався для реєстрації кластера.
Оновлення параметрів бази даних для зміни до копії бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL на Microsoft SQL Server або навпаки. Щоб переключити середовище бази даних, розпочніть нове розгортання гібридної безпеки даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, для цілей безпеки Hybrid Data Security використовує паролі облікових записів служби, які мають дев'ятимісячний термін служби. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх у кожному з ваших вузлів HDS у файлі конфігу рації ISO. Коли термін дії паролів вашої організації наближається до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису комп'ютера. (Електронний лист містить текст «Використовувати API облікового запису машини для оновлення пароля».) Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М'яке ски дання - старий і новий паролі працюють до 10 днів. Використовуйте цей період для поступової заміни файлу ISO на вузлах.
Hard reset - Старі паролі перестають працювати негайно.

Якщо ваші паролі закінчуються без скидання, це впливає на вашу службу HDS, вимага ючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл ISO конфігурації та застосувати його до вашого кластера.

Перш ніж почати

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися програмою Podman Desktop для запуску інструменту налаштування HDS для кроків від 1.a до 1.e у наведеній нижче процедурі. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Для створення нової конфігурації потрібна копія поточного файлу ISO конфігурації. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен, коли ви вносите зміни в конфігурацію, зокрема облікові дані бази даних, оновлення сертифікатів або зміни політики авторизації.

1	Використовуючи Docker на локальній машині, запустіть інструмент налаштування HDS. У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати. Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro` У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Переконайтеся, що ви скористалися останнім інструментом налаштування для цієї процедури. Версії інструменту, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPSProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080». Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з'явиться запит, введіть облікові дані клієнта Partner Hub, а потім натисніть «Прийняти», щоб продовжити. Імпортуйте поточний файл ISO конфігурації. Дотримуйтесь підказок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб вимкнути інструмент «Налаштування», введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, ство ріть нову віртуальну машину з гібридним вузлом безпеки даних та зареєструйте його за допомогою нового файлу ISO конфігурації. Більш детальні інструкції див. у статті Створення та реєстрація інших вузлів. Встановіть основу HDS OVA. Налаштуйте віртуальну машину HDS. Змонтуйте оновлений файл конфігурації. Зареєструйте новий вузол в Partner Hub.
3	Для існуючих вузлів HDS, на яких запущено старий файл конфігурації, монтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол, перш ніж вимкнути наступний вузол: Для розгортання VMware: Вимкніть віртуальну машину HDS. У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Якщо файл ISO зараз прикріплений, від'єднайте його, перш ніж продовжувати. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Виберіть Під ключено та Під ключити під час увімкнення живлення. Збережіть зміни і живлення на віртуальній машині. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Вимкніть віртуальну машину HDS і дочекайтеся, поки її статус зміниться на Shutdown. Відкрийте Пристрої CD-ROM. Якщо файл ISO наразі прикріплений, від'єднайте його та перевірте, що жоден файл ISO не залишається прикріпленим. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації перелічено. Запустіть віртуальну машину HDS. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини. На вкладці «Підсу мок віртуальної машини» виберіть «Опер ації живлення» > «Увімкнути». Переконайтеся, що тривоги не виникають принаймні 15 хвилин.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному іншому вузлі, на якому запущено стару конфігурацію.

Вимкніть режим блокованої зовнішньої роздільної здатності DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS та підключення до Cisco Webex хмари. Якщо DNS-сервер вузла не може розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокованої зовнішньої розв'язки DNS.

Якщо ваші вузли здатні розпізнавати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторно запустивши тест проксі-з'єднання для кожного вузла.

Перш ніж почати

Переконайтеся, що ваші внутрішні сервери DNS можуть розпізнавати загальнодоступні імена DNS, і що ваші вузли можуть спілкуватися з ними.

1	У веб-браузері відкрийте інтерфейс вузла Гібридного захисту даних (IP-адреса/налаштування, наприклад, https://192.0.2.0/setup), введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть У вій ти.
2	Перейдіть до Огляд (сторінка за замовчуванням). Якщо увімкнено, параме тр «Заблокована зовнішня роздільна здатність DNS» встановлюється на «Так».
3	Перейдіть на сторінку Trust Store та прок сі.
4	Натисніть Перевірити підключення до проксі- сервера. Якщо ви бачите повідомлення про те, що зовнішнє вирішення DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку після перезавантаження вузла і повернення на сторінку Огляд, B locked External DNS Resolution має бути встановлено значення no.

Що робити далі

Повторіть перевірку підключення до проксі-сервера для кожного вузла у кластері гібридної безпеки даних.

Вилучити вузол

Скористайтеся цією процедурою, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використовуйте інтерфейс керування гіпервізором у вашому розгортанні, щоб знайти та вимкнути віртуальну машину HDS.

2

Видаліть вузол:

Увійдіть у Партнерський центр, а потім виберіть Служби.
На картці «Гібридна безпека даних» клацніть «Переглянути все», щоб відобразити сторінку Ресурси захисту гібридних даних.
Виберіть кластер, щоб відобразити панель «Огляд».
Натисніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, яка з'явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши... праворуч від вузла та вибравши пункт Скасувати реєстрацію вузла.

3

Використовуючи інтерфейс керування гіпервізором у вашому розгортанні, знайдіть і видаліть віртуальну машину HDS.

Якщо ви не видаляєте віртуальну машину, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Центр обробки даних в режимі очікування для аварійного відновлення

Під час розгортання ви налаштовуєте захищений центр обробки даних у режимі очікування. У разі аварії в центрі обробки даних ви можете вручну відмовитися від розгортання до центру обробки даних у режимі очікування.

Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode. — ***Ручне переключення від відмови до центру обробки даних у режимі очікування***

Бази даних активних і резервних центрів обробки даних синхронізуються між собою, що мінімізує час, необхідний для виконання відмови.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому самому центрі обробки даних, що і активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче дії, щоб налаштувати файл ISO центру обробки даних у режимі очікування:

Перш ніж почати

Центр обробки даних у режимі очікування повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробництві є 3 віртуальні машини з вузлами HDS, у середовищі резервного копіювання має бути 3 віртуальні машини. (Див. Центр обробки даних у режимі очікування для відновлення після аварійного завершення роботи, щоб отримати огляд цієї моделі відмови.)
Переконайтеся, що синхронізація бази даних включена між базою даних активних і пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS. Файл ISO повинен бути копією оригінального файлу ISO первинного центру обробки даних, до якого слід внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри
3	На сторінці Додат кові налаштування додайте конфігурацію нижче, щоб розмістити вузол у пасивному режимі. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме будь-який трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла в центрі обробки даних у режимі очікування. Перевірте syslogs, щоб переконатися, що вузли знаходяться в пасивному режимі. Ви повинні мати можливість переглянути повідомлення «KMS налаштовано в пасивному режимі» в syslogs.

Що робити далі

Після налаштування пасивного режиму в фай лі ISO і його збереження ви можете створити ще одну копію файлу ISO без конфігурації PassiveMode і зберегти його в захи щеному місці. Ця копія файлу ISO без налаштованого пасивного режиму може допомогти у швидкому процесі відмови під час аварійного відновлення. Детальну процедуру відмови від відмови див. у розділі Відновлення після аварійного завершення роботи за допомогою центру обробки даних у режимі очікування.

Відновлення після аварійного завершення роботи за допомогою центру обробки даних у режимі

Найважливішою послугою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого вмісту, що зберігається в хмарі Webex. Для кожного користувача в організації, якому призначено гібридну безпеку даних, нові запити на створення ключів спрямовуються до кластеру. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримати, наприклад, членам простору розмов.

Оскільки кластер виконує критичну функцію надання цих ключів, необхідно, щоб кластер залишався запущеним і підтримувались належні резервні копії. Втрата бази даних Hybrid Data Security або конфігурації ISO, що використовується для схеми, призведе до НЕВІДНОВЛЮВАНОЇ ВТРАТИ вмісту клієнта. Для запобігання такої втрати обов'язковими є такі практики:

Якщо аварія призведе до того, що розгортання HDS у первинному центрі обробки даних стає недоступним, виконайте цю процедуру для ручного переходу до центру обробки даних у режимі очікування.

Перш ніж почати

Використовуйте останній файл ISO, який був налаштований проти вузлів кластера, який був раніше активним, для виконання процедури відмови, згаданої нижче.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри
3	На сторінці Додат кові параметри додайте конфігурацію нижче або видаліть конфігурацію `пасивного режиму, щоб зробити` вузол активним. Вузол може обробляти трафік після його налаштування. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла в центрі обробки даних у режимі очікування. Перевірте вихід syslog, щоб переконатися, що вузли центру обробки даних в режимі очікування не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в syslogs.

Що робити далі

Після відмови, якщо первинний центр обробки даних знову стає активним, знову переведіть центр обробки даних у пасивний режим, виконавши дії, описані в розділі Н алаштування центру обробки даних у режимі очікування для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після конфігурації HDS

Стандартна конфігурація HDS працює із встановленим ISO. Але деякі клієнти вважають за краще не залишати файли ISO безперервно монтованими. Ви можете демонтувати файл ISO після того, як усі HDS-вузли підберуть нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін у конфігурацію. Коли ви створюєте новий ISO або оновлюєте ISO за допомогою інструмента налаштування, ви повинні змонтувати оновлений ISO на всіх ваших вуз лах HDS. Після того, як усі ваші вузли підхопили зміни конфігурації, ви можете знову демонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або новішої версії.

Від'єднайте файл ISO конфігурації.

Для розгортання VMware:

Вимкніть один вузол HDS.
У клієнті VMware vSphere виберіть віртуальну машину HDS.
Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування.
Виберіть CD/DVD Drive 1 і від'є днайте змонтований файл ISO конфігурації.
Очистіть Підклю чення та Підключення під час увімкнення живлення, а потім збережіть зміни.
Увімкніть вузол HDS і переконайтеся, що тривоги не виникають принаймні 20 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Для розгортання NFVIS:

Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть одну віртуальну машину HDS.
Вимкніть VM і дочекайтеся, поки її стан зміниться на Shutdown.
Відкрийте Пристрої CD-ROM.
Виберіть прикріплений файл ISO конфігурації та натисніть Від'є днати.
Переконайтеся, що файл ISO більше не прикріплений до віртуальної машини.
Запустіть вузол HDS і переконайтеся, що тривоги не виникають принаймні 20 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Для розгортання Nutanix:

Перейдіть до Інфраструктура > Обчислення > VM і виберіть одну віртуальну машину HDS.
На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини.
Відкрийте вклад ку Диски віртуальної машини.
Виберіть запис ISO конфігурації, тип якого є CD-ROM.
Натисніть Видалити.
Переконайтеся, що ISO конфігурації більше не монтується.
На вкладці «Підсу мок віртуальної машини» виберіть «Опер ації живлення» > «Увімкнути».
Переконайтеся, що тривоги не виникають принаймні 15 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Виправлення проблем із захистом гібридних даних

Перегляд сповіщень та усунення несправностей

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає тайм-ауту. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони відчувають такі симптоми:

Неможливо створити нові пробіли (неможливо створити нові ключі)
Повідомлення та заголовки пробілів не розшифровуються для:
- Нові користувачі додані в пробіл (не вдається отримати ключі)
- Існуючі користувачі в просторі, що використовують новий клієнт (не вдається отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати до тих пір, поки їхні клієнти мають кеш ключів шифрування

Важливо, щоб ви належним чином відстежували кластер гібридної безпеки даних та негайно надсилали будь-які сповіщення, щоб уникнути порушення роботи служби.

Сповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Оповіщення	Акція
Збій доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем з локальною мережею.
Збій підключення до локальної бази даних.	Переконайтеся, що сервер бази даних доступний, а правильні облікові дані облікового запису служби були використані в конфігурації вузла.
Збій доступу до хмарних сервісів.	Переконайтеся, що вузли можуть отримати доступ до серверів Webex, як зазначено у Вимо гах зовнішнього підключення.
Продовження реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасували. Триває поновлення реєстрації.
Реєстрація хмарних сервісів знизилася.	Реєстрація в хмарних сервісах припинена. Сервіс припиняється.
Сервіс ще не активований.	Активуйте HDS в партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера відповідає налаштованому домену активації служби. Найбільш ймовірною причиною є те, що сертифікат CN був нещодавно змінений і тепер відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося здійснити автентифікацію в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису сервісу.
Не вдалося відкрити файл локального сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін придатності сертифіката сервера та підтвердьте, що він був виданий довіреною особоюCertificate Authority.
Неможливо опублікувати метрики.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
Каталог /media/configdrive/hds не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Переконайтеся, що файл ISO існує, чи він налаштований на монтування під час перезавантаження та чи він успішно монтується.
Налаштування організації орендарів не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій-орендарів за допомогою HDS Setup Tool.
Налаштування організації орендарів не завершено для видалених організацій	Завершіть налаштування, скасувавши CMK організації-орендарів, які були видалені за допомогою HDS Setup Tool.

Виправлення проблем із захистом гібридних даних

Використовуйте наведені нижче загальні вказівки при усуненні проблем із захистом гібридних даних.

1	Увійдіть у Партнерський центр.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть кнопку Події.
4	Перегляньте сторінку історії подій на наявність будь-яких сповіщень та виправте будь-які елементи, які ви там знайдете. Дивіться зображення нижче для довідки.
5	Перегляньте вихід сервера syslog для активності з розгортання гібридної безпеки даних. Фільтруйте такі слова, як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco.

HDS API для розробників

API розробників HDS — це спосіб отримати дані аналітики та моніторингу, а також усунути неполадки розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видаливши їх у центрі партнерів або вимкнувши всі вузли), втратите файл ISO конфігурації або втратили доступ до бази даних сховища ключів, користувачі Webex App організацій-клієнтів більше не можуть використовувати пробіли у своєму списку Люди, створені за допомогою ключів з вашого KMS. Наразі ми не маємо вирішення цієї проблеми або виправлення, і ми закликаємо вас не закривати служби HDS, коли вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це з'єднання протягом певного періоду часу (ймовірно, одну годину).

Розгортання та налаштування HDS на NFVIS

Виконайте наведені нижче процедури, щоб розгорнути HDS на гіпервізорі NFVIS. Процес включає встановлення HDS OVA, налаштування VM, монтаж конфігурації ISO та перевірку розгортання.

Встановлення HDS Host OVA на NFVIS

Перш ніж почати

Виконайте передумови гібридної безпеки даних та завантажте найновішу HDS OVA. Перейменуйте файл за допомогою формату hds- .ova для відстеження; наприклад, hds-26-aug-2026.ova. <DD-MMM-YYYY>
Створіть ISO конфігурації HDS та зберігайте його надійно. ISO містить головний ключ шифрування.
Зберіть статичну IP-адресу вузла, маску підмережі, шлюз, DNS-сервер, NTP-сервер та ім'я мережі NFVIS.
Переконайтеся, що у вас є доступ адміністратора NFVIS та достатня ємність для виділення принаймні 4 впроцесорів, 8 ГБ пам'яті та 30 ГБ пам'яті на один вузол HDS.

1	Увійдіть в інтерфейс NFVIS і перейдіть до Кон фігурація> Віртуальна машина> Зображення> Сховище зображень.
2	Виберіть параметр LOC AL і завантажте перейменований файл HDS OVA (наприклад, hds-26-aug-2026.ova).
3	Встановіть Тип робочого навантаження віртуальної машини на Викли к, а Тип віртуальної машини - ECP/VIDEO MESH, а потім виберіть Завантажити файл.
4	Контролюйте хід завантаження до завершення.
5	Переконайтеся, що завантажена OVA позначена як активна і що NFVIS успішно створив пов'язаний користувацький профіль OVA.

Налаштування віртуальної машини з гібридною безпекою даних на NFVIS

1	Перейдіть до Конфігурація > Розгор нути та виберіть ECP/VIDEO MESH з меню Вибрати віртуальну машину.
2	Введіть унікальне ім'я віртуальної машини, виберіть попередньо завантажений образ HDS та виберіть відповідний користувацький профіль OVA у розділі Деталі розгортання.
3	Виберіть DEPLO Y і дочекайтеся успішного сповіщення про розгортання.
4	Перейдіть до Конфігурація > Віртуальна машина > Кер ування, щоб переконатися, що нова віртуальна машина HDS активна.
5	Поверніться до Кон фігурації > Розгор нути, виберіть віртуальну машину HDS та скористайтеся спадним списком Мережеві інтерфейси, щоб приєднати її до потрібної мережі WAN.
6	Виберіть DEPLO Y, щоб застосувати зміни конфігурації мережі.

Завантажте та монтуйте ISO конфігурації HDS

1	Перш ніж продовжувати, переконайтеся, що файл ISO конфігурації HDS завантажено до сховища зображень за допомогою пункту Конфігурація > Віртуальна машина > Зображення > Схови ще зображень.
2	Відкрийте термінал для віртуальної машини HDS за допомогою пункту Кон фігурація > Віртуальна машина > Керування та виконайте початковий вхід за допомогою облікових даних за замовчуванням. `Ім'я користувача: admin` `Пароль: цискосистеми`
3	Змініть облікові дані адміністратора, коли з'явиться запит.
4	Налаштуйте статичну IP-адресу вузла, маску підмережі, шлюз, DNS та налаштування NTP за допомогою параметра Реда гувати конфігурацію.
5	Вимкніть HDS VM, щоб полегшити процес монтажу.
6	Відкрийте меню дій віртуальної машини, виберіть CD-ROM і виберіть ISO конфігурації HDS, щоб приєднати його до віртуальної машини.
7	Увімкніть віртуальну машину та переконайтеся, що вона успішно запускається із встановленою конфігурацією ISO.

Що робити далі

Якщо потрібно, перейдіть до пункту Н алаштувати вузол для інтеграції проксі -сервера, а потім перейдіть до Реєстрації першого вузла в кластер і.

Розгортання та налаштування HDS на Nutanix

Дотримуйтесь наведених нижче процедур, щоб розгорнути HDS на гіпервізорі Nutanix. Процес включає встановлення HDS OVA, налаштування VM, монтаж конфігурації ISO та перевірку розгортання.

Встановіть HDS Host OVA на Nutanix

Скористайтеся цією процедурою для імпорту HDS OVA-файлу в Nutanix.

1	Завантажте найновішу HDS OVA.
2	У Prism Central перейдіть до Інфра структура > Обчислення > OVA.
3	Виберіть Завантажити OVA.
4	Виберіть джерело OVA та виберіть цільовий кластер.
5	Дайте завантаженому OVA унікальне та впізнаване ім'я. Включіть версію або дату завантаження, щоб адміністратори могли відрізнити її від старих версій OVA.
6	Завершіть завантаження.
7	У списку OVA перевірте, чи формат диска відображається як VMDK.

Створіть віртуальну машину з гібридної безпеки даних на Nutanix

Скористайтеся цією процедурою для створення віртуальної машини HDS.

1	У Prism Central перейдіть до Інфра структура > Обчислення > OVA.
2	Виберіть успішно завантажений HDS OVA.
3	Виберіть «Розгорнути як віртуальну машину».
4	Введіть унікальне, впізнаване ім'я віртуальної машини та виберіть цільовий кластер.
5	Переконайтеся, що OVA заповнила такі властивості віртуальної машини: 4 впроцесори 8 Гб пам'яті
6	Натисніть кнопку Далі. Відкри ється майстер ресурсів.
7	У таблиці Ре сурси > Диски переконайтеся, що прикріплений диск має розмір 30 ГБ.
8	Приєднайте правильну підмережу або VLAN за допомогою параметра При єднати до підмережі та встановити стан мережевого підключення на Підключений. Якщо майстер містить порожній або типовий запис мережі, що відображає мережу не знайдено для мережі віртуальної машини, видаліть цей запис. Недійсний запис може перешкодити майстру продовжувати роботу навіть після приєднання правильної підмережі.
9	Виберіть UEFI в якості режиму BIOS і натисніть кнопку Далі. Відкриється майстер керування.
10	Залиш те Категорі ї порожніми, якщо категорії не вимагаються організацією.
11	Виберіть відповідний часовий пояс.
12	Виберіть Без налаштувань на карт ці «Налаш тування гостей» та натисніть кнопку Далі.
13	Перегляньте налаштування та виберіть С творити віртуальну машину.

Завантажте та монтуйте ISO конфігурації HDS

1	У Prism Central перейдіть до Інфра структура > Обчислення > ВМ.
2	Виберіть розгорнуту віртуальну машину HDS. На вкладці «Підсу мок» виберіть «Опер ації живлення» > «Увімкнути». Зачекайте кілька хвилин, поки VM запуститься.
3	Натисніть кнопку Запустити консо ль. Виконайте початковий вхід за допомогою облікових даних за замовчуванням. `Ім'я користувача: admin` `Пароль: цискосистеми`
4	Змініть облікові дані адміністратора, коли з'явиться запит.
5	Налаштуйте статичну IP-адресу вузла, маску підмережі, шлюз, DNS та налаштування NTP за допомогою параметра Реда гувати конфігурацію.
6	Вимкніть віртуальну машину HDS перед приєднанням ISO. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Під сумок» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини.
7	Відкрийте вкладку Диски вірту альної машини.
8	Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити.
9	Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA
10	Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
11	На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «У вімкнення живлення» і переконайтеся, що тривоги відсутні протягом принаймні 15 хвилин.

Що робити далі

Якщо потрібно, перейдіть до пункту Н алаштувати вузол для інтеграції проксі -сервера, а потім перейдіть до Реєстрації першого вузла в кластер і.

Міграція вузлів HDS між підтримуваними гіпервізорами

Використовуйте цю процедуру для переміщення вузлів HDS з одного підтримуваного гіпервізора до іншого. Існуючі віртуальні машини HDS не мігруються безпосередньо між гіпервізорами. Замість цього розгортайте вузли заміни на цільовому гіпервізорі та зареєструйте їх у існуючому або новому кластері HDS.

Перш ніж почати

Створіть резервну копію бази даних HDS та поточної конфігурації ISO.
Переконайтеся, що цільовий гіпервізор і віртуальні хости відповідають вимогам розгортання HDS.
Переконайтеся, що існуючий кластер HDS справний і що інші вузли можуть продовжувати обробляти трафік під час заміни вузла.
Визначте, чи буде кожен замінений вузол повторно використовувати IP-адресу вихідного вузла та FQDN або використовувати нові налаштування мережі.
Використовуйте ISO поточної конфігурації та існуючу базу даних HDS для заміни вузлів.

Якщо переміщення також змінює активну конфігурацію центру обробки даних, сервера баз даних або HDS, див. розділ Зміна конфігурації вузла та центру обробки даних у режимі очікування для аварійного відновлення, перш ніж продовжувати.

1	Виберіть один вузол HDS на гіпервізорі джерела для заміни. Залиште всі інші вузли запущеними та зареєстрованими.
2	Підготуйте конфігурацію мережі для заміни вузла: Якщо ви повторно використовуєте IP-адресу вихідного вузла та FQDN, вимкніть вихідну віртуальну машину та зніміть його з реєстрації, перш ніж підключити заміну вузла до мережі. Якщо ви використовуєте нову IP-адресу або FQDN, залиште вихідний вузол запущеним та зареєстрованим під час розгортання та перевірки заміни вузла. Не запускайте вихідні та замінні вузли одночасно, якщо вони використовують однакову конфігурацію мережі.
3	Створіть та налаштуйте заміну ВМ на цільовому гіпервізорі. Використовуйте найновішу HDS OVA та дотримуйтесь відповідних процедур розгортання для цього гіпервізора.
4	Налаштуйте мережеві налаштування віртуальної машини для заміни відповідно до конфігурації, вибраної на кроці 2. Дотримуйтесь інструкцій з налаштування цільового гіпервізора.
5	Приєднайте поточну конфігурацію HDS ISO. Якщо у вашому розгортанні використовується проксі-сервер, налаштуйте проксі-сервер і сховище довіри, як описано в розділі Налаштування вузла HDS для інтеграції проксі-сервера.
6	Зареєструйте заміну вузла з існуючим кластером або новим кластером. Див. Створення та реєстрація додаткових вузлів.
7	Переконайтеся, що замінений вузол справний, підключений до хмари Webex та обробляє трафік HDS. Вирішіть будь-які тривоги, перш ніж продовжувати.
8	Якщо вихідний вузол все ще працює, оскільки заміна використовує нову конфігурацію мережі, вимкніть та скасуйте його з реєстрації. Див. Видалення вузла.
9	Повторіть ці дії для кожного вузла, що залишився на гіпервізорі джерела. Не замінюйте інший вузол, поки кластер не стане здоровим.
10	Після того, як всі вузли заміни стабільні і відкат більше не потрібен, видаліть оригінальні віртуальні машини з гіпервізора джерела. Якщо ви тимчасово збережете оригінальну віртуальну машину, залиште її вимкненою та демонтуйте її конфігурацію ISO.

Що робити далі

Після реєстрації замінених вузлів підтвердьте, що вони справні і що розгортання HDS обробляє трафік. Якщо розгортання справне, видаліть усі вихідні вузли, які все ще зареєстровані в оригінальному гіпервізорі. Якщо це можливо, виконайте наведені вище дії, щоб замінити вузли в налаштуваннях аварійного відновлення.

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент керування контейнерами з відкритим вихідним кодом, який забезпечує спосіб запуску, управління та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, завантажте та запустіть Podman на цій машині. Для процесу налаштування потрібні облікові дані облі кового запису Центру керування з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що робити далі

Виконайте інші кроки в розділі Створення ISO конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Відключення хмарних агентів

Хмарні агенти (c-agent) — це надійні облікові записи служб Webex, які виконують операції з HDS через делегований доступ від імені користувача для покращення загального користувальницького досвіду. Вимкнення хмарних агентів блокує доступ служб Webex до локальних ключів HDS.

Вимкнення хмарних агентів призведе до втрати таких функцій, як записи після наради, стенограми, попередній перегляд файлів та автоматичне сканування проти шкідливих програм у Webex App Spaces.

Виконайте наведені нижче дії, щоб вимкнути хмарні агенти для розгортання HDS.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS. Файл ISO повинен бути копією оригінального файлу ISO первинного центру обробки даних, до якого слід внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри.
3	На сторінці Додат кові налаштування додайте конфігурацію нижче, щоб вимкнути хмарні агенти. Це гарантує, що хмарні агенти не зможуть обробляти трафік HDS. `cloudAgentUpdateEnabled: 'false'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла у вашому розгортанні HDS. Переконайтеся, що хмарні агенти вимкнені, перевіривши в syslogs такий запис: «Оновлення хмарного агента вимкнено».

Переміщення існуючого розгортання HDS для одного орендаря партнерської організації в Контрольному центрі до налаштування HDS для кількох орендарів у партнерському центрі

Перетворення з існуючого розгортання HDS одного орендаря партнерської організації, керованої в Control Hub, на розгортання HDS для кількох орендарів, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS у Центрі керування, зняття реєстрації вузлів та видалення кластера. Потім ви можете увійти в Partner Hub, зареєструвати вузли, активувати Multi-Tenant HDS та додавати клієнтів до свого кластеру.

Термін «один орендар» просто відноситься до існуючого розгортання HDS в Контрольному центрі.

Деактивувати HDS, скасувати реєстрацію вузлів і видалити всі кластери в Control Hub

1	Увійдіть у Контрольний центр. На лівій панелі натисніть Гі брид. На картці «Гібридна безпека даних» натисніть «Ре дагувати параметри».
2	На сторінці налаштувань прокрутіть вниз до розділу Деактивувати та натисніть Де активувати.
3	Після деактивації натисніть на вкладку Ре сурси.
4	На сторінці Ресурси наведено список кластерів у вашому розгортанні HDS. Натисніть на кластер, відкриється сторінка з усіма вузлами під цим кластером.
5	Клацніть праворуч і натисніть кнопку Скасувати реєстра цію вузол. Повторіть процес для всіх вузлів у кластері.
6	Якщо у вашому розгортанні є кілька кластерів, повторіть кроки 4 та 5, доки всі вузли не будуть зняті з реєстрації.
7	Натисніть Параметри кластера > Видал ити.
8	Натисніть кнопку Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, зняття реєстрації вузлів та видалення кластерів у нижній частині картки служби гібридних даних у Центрі керування відображатиметься «Н алаштування не завершено».

Активуйте багатоквартирний HDS для партнерської організації в Partner Hub та додайте клієнтів

Перш ніж почати

Усі передумови, зазначені у Вимогах щодо безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переміщення на Multi-Tenant HDS використовуються однакові бази даних та сертифікати.

1	Увійдіть у Партнерський центр. Натисніть Слу жби на лівій панелі. Використовуйте той самий ISO з попереднього розгортання HDS для налаштування вузлів. Це гарантує, що повідомлення та вміст, створений користувачами в попередньому існуючому розгортанні HDS, все ще будуть доступні в новому налаштуванні Multi-Tenant.
2	У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть кнопку Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі С творити картку кластер а введіть назву кластера, якому потрібно призначити вузол гібридного захисту даних. Рекомендуємо назвати кластер залежно від того, де вузли кластера розташовані географічно. Приклади: «Сан-Франциско» або «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Дод ати внизу екрана. Ця IP-адреса або FQDN має відповідати IP-адресі або імені хосту та домену, які ви використовували в Н алаштування віртуальної машини з гібридною безпекою даних. З'явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати вашій організації Webex дозволи на доступ до вашого вузла.
7	Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, а повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex. На сторінці «Гібридна безпека даних» новий кластер, що містить зареєстрований вами вузол, відображається на вкладці «Ре сурси». Вузол автоматично завантажить новітнє програмне забезпечення з хмари.
8	Перейдіть на вклад ку Налаштування та натисніть Активувати на картці стану HDS. Активоване HDS- повідомлення з'явиться внизу екрана.
9	Натисніть на вкладку Призначені клієн ти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого хочете додати, зі спадного меню.
12	Натисніть Дод ати, клієнт буде доданий до кластеру.
13	Повторіть кроки від 11 до 13, щоб додати кількох клієнтів до вашого кластеру.
14	Натис ніть Готово внизу екрана після додавання клієнтів.

Що робити далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використовуйте OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL - це один із інструментів, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в Інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо і не просуваємо один спосіб над іншим.
Якщо ви все-таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як орієнтир, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у вимогах до сертифікатів X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL в підтримуваному середовищі. Програмне забезпечення та документацію див. https://www.openssl.org.
Створіть приватний ключ.
Запустіть цю процедуру, коли ви отримаєте сертифікат сервера від вашого Certificate Authority (CA).

1	Коли ви отримаєте сертифікат сервера від вашої CA, збережіть його як `hdsno` de.pem.
2	Покажіть сертифікат у вигляді тексту та перевірте деталі. `openssl x509 -текст -ноут -в hdsnode.pem`
3	Скористайтеся текстовим редактором для створення файлу пакета сертифікатів під назвою `hdsno` de-bundle.pem. Файл пакета повинен містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Створіть файл.p12 з дружньою назвою kms-private-key.` `openssl pkcs12 -експорт -inkey hdsnode.key -у hdsnode-bundle.pem -ім'я kms-приватний ключ -може вийти kms-приватний ключ hdsnode.p12`
5	Перевірте дані сертифіката сервера. `openssl pkcs12 -в hdsnode.p12` Введіть пароль під запитом, щоб зашифрувати приватний ключ так, щоб він був вказаний у виході. Потім переконайтеся, що приватний ключ і перший сертифікат містять рядки `friendlyName:` kms-private-key. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Що робити далі

Повернутися до заповнення передумов для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви встановили для нього, у розділі Створити ISO конфігурації для хостів HDS.

Ви можете повторно використовувати ці файли, щоб запросити новий сертифікат після закінчення терміну дії оригінального сертифіката.

Трафік між вузлами HDS та хмарою

Трафік збору вихідних метрик

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. Вони включають системні показники для макс купи, використаної купи, завантаження процесора та кількості потоків; метрики синхронних та асинхронних потоків; метрики щодо сповіщень, що включають поріг з'єднань шифрування, затримку або довжину черги запитів; метрики на сховищі даних; та метрики підключення шифрування. Вузли надсилають зашифрований ключовий матеріал через поза діапазоном (окремо від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузлів

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі Squid

Проксі-сервери Squid, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з'єднань з веб-сокетом (wss:), необхідних для гібридної безпеки даних. У цих розділах наведено вказівки щодо налаштування різних версій Squid для ігно рування трафіку wss: для правильної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних з наступними правилами, доданими до squid .conf. Ці правила можуть бути змінені, коли ми розробляємо функції та оновлюємо хмару Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Деактивуйте гібридну безпеку даних для кількох орендарів

Потік завдань деактивації HDS для кількох орендарів

Виконайте наведені нижче дії, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання повинен виконувати тільки повний адміністратор Партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в розділі Видалити організації-орендарів.
2	Відкликати КМК усіх клієнтів, як зазначено в розділі Від кликати КМК орендарів, видалених з HDS. .
3	Видаліть усі вузли з усіх ваших кластерів, як згадувалося в розділі Видалити вузол.
4	Видаліть усі свої кластери з центру партнерів одним із двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Ви далити цей кластер у верхньому правому куті сторінки огляду. На сторінці Ресурси натисніть у правій частині кластера та виберіть Ви далити кластер.
5	Натисніть вкладку Налаш тування на сторінці огляду гібридної безпеки даних та натисніть Де активувати HDS на картці стану HDS.

Часті питання

Q. Чи зберігаються CMK та головний ключ у ISO чи базі даних?

A. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO.

Питання: Чи використовується один ключ для шифрування всіх даних організацій-клієнтів?

А. Ні. Дані кожної організації-замовника шифруються за допомогою власного CMK (основного ключа клієнта).

Питання: Що станеться, якщо я вимкну HDS з Partner Hub?

Відповідь: Деякі операції, як-от створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий вміст у просторах буде доступний до закінчення терміну дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами один на один.

Питання: Після того, як CMK буде створено для організації клієнта за допомогою інструменту налаштування HDS, чи починають користувачі клієнтської організації негайно використовувати HDS для кількох орендарів?

Відповід ь: Для оновлення хмарного кешу може бути максимальна затримка 24 години.

Питання: Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» в Partner Hub?

А. Зазвичай це означає, що немає організацій-замовників, які відповідають вимо Cisco Webex гам ліцензії.

Питання: Який вплив буде, якщо всі вузли HDS вимкнені або якщо проблема з мережею впливає на всі вузли HDS?

A. Такі операції, як створення приміщень та планування зустрічей, впливають негайно. Існуючий вміст доступний лише до закінчення терміну дії локального кешу.

Питання: Чи зашифровані дані користувачів партнерської організації за допомогою головного ключа, створеного під час створення ISO?

А. Так. В даний час дані користувачів організації-партнера шифруються за допомогою головного ключа. У майбутньому організації-партнери матимуть ключові для партнерів, подібні до CMC клієнтів.

Питання: Чи можуть партнерські організації та орендарські організації перебувати в різних регіонів (скажімо, США та ЄС)?

А. Так. Організації-партнери та орендарі можуть розташовуватися в різних географічних регіонів.

Питання: Чи існує якийсь механізм переміщення клавіш назад до Cloud KMS?

Відповідь: Немає механізму переміщення ключів назад у Хмару після розгортання HDS.

Питання: Чи може партнер продовжувати використовувати хмарний KMS та використовувати HDS для кількох орендарів виключно для управління клієнтами?

Відповідь: Ні, це наразі не підтримується. Підтримка цього функціоналу планується на майбутнє.

Питання: Як партнер може перевірити, що їхня організація використовує HDS для шифрування з кількома орендарами?

A. Увійдіть у Партнерський центр. Перейдіть до Служби > Гібридна безпека даних > Н алаштування. Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують HDS для кількох орендарів.

Крім того, ви можете перевірити свої syslogs, щоб переконатися, що HDS активовано. Див. Тестування розгортання гібридної безпеки даних.

Питання: Чи є альтернатива Docker Desktop для запуску інструменту налаштування HDS?

А. Так. Pod man Desktop є альтернативою Docker Desktop з відкритим кодом. Див. Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Питання: Скільки вузлів можна розгорнути в кластері HDS для кількох орендарів?

Відповід ь: Ми рекомендуємо мінімум два вузли і максимум 1000.

З. Які вимоги до мережі необхідні для налаштування HDS для кількох орендарів?

A. Див. Вимо ги до зовнішнього підключення.

Питання: Чи є Pro Pack for Control Hub вимогою для організацій-партнерів?

А. Ні. Pro Pack не є вимогою для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера облікового запису, щоб отримати допомогу в налаштуванні HDS для кількох орендарів.

Питання: Чи підтримується HSM у HDS для кількох орендарів?

Відповідь: Ні, наразі HDS для кількох орендарів не підтримує HSM.

Питання: Чи можу я протестувати HDS для кількох орендарів за допомогою власного підписаного сертифіката?

А. Ні. Для HDS для кількох орендарів потрібен сертифікат, отриманий з надійної CA, який відповідає всім вимогам, зазначеним у Вимогах до сертифікатів X.509.

Питання: Чи потрібно монтувати ISO кожного разу, коли в Partner Hub додається новий клієнт?

А. Ні. ISO потрібно монтувати лише при зміні конфігурацій ISO. Додаючи нового клієнта в Partner Hub, переконайтеся, що ви можете створювати CMK за допомогою інструменту налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

Питання: Після розгортання HDS для кількох орендарів у Partner Hub користувачі партнерської організації починають використовувати локальні KMS для керування ключами?

A. Користувачі почнуть використовувати локальний KMS для керування ключами лише після активації HDS в Partner Hub.

Нова та змінена інформація

Ця таблиця охоплює нові функції або функціональні можливості, зміни існуючого вмісту та будь-які основні помилки, які були виправлені в П осібнику з розгортання гібридної безпеки даних для кількох орен дарів.

Дата	Внесені зміни
Жовтень 01, 2026	Додано міграцію вузлів HDS між підтримуваними розділами гіпервізорів.
Вересень 21, 2026	Додана підтримка гіпервізора програмного забезпечення інфраструктури віртуалізації корпоративних мережевих функцій Cisco (NFVIS) у вимогах вірту ального хоста. Додана підтримка гіпервізора Nutanix у вимогах до вірту ального хоста. Додано розгортання та налаштування HDS у розділі NFVIS. Додано розгортання та налаштування HDS на розділі Nutanix. Оновлені процедури у всьому посібнику, щоб включити інструкції щодо розгортання NFVIS та Nutanix. Переміщен о розділ Центр обробки даних у режимі очікування для відновлення після аварійного завершення роботи в розділі Керування розгортанням HDS.
Серпень 31, 2026	Вилучено вимогу увімкнення функції для кількох орендарів із розділу Вимоги до Cisco Webexліцензії.
Серпень 28, 2026	Додано критичне попередження в О чікуваннях щодо розгортання гібридного захисту даних про те, що міграція з багатоквартирного гібридного захисту даних на хмарний KMS Webex не підтримується, а виведення HDS з експлуатації призведе до втрати доступу до існуючих зашифрованих даних.
Липень 30, 2026	Оновлено розділ Ви моги до сертифікатів X.509, щоб вказати, що підтримуються лише сертифікати RSA.
Липень 02, 2026	Додано розділ «Відключити хмарні аген ти».
23 червня 2026 р.	Додано розділ Інтерпретація журналів HDS та розуміння міток агентів.
01 червня 2026	Додано розділ API розробників HD S. Додано примітку до За пустити інструмент налаштування HDS за допомогою розділу Podman Desktop.
Квітень 16, 2026	Оновлені вимоги до сервера бази даних для додавання підтримки для PostgreSQL версій 17 і 18.
25 березня 2026	Оновлено пароль за замовчуванням, який використовується для входу в віртуальну машину вузла Гібридного захисту даних.
05 Грудня, 2025	Оновлено Створити ISO конфігурації для хостів HDS з правиль ним текстом інтерфейсу користувача на сторінці Системні журнали та додано інструкцію для завантаження кореневого сертифіката syslog під час налаштування шифрування TLS.
Листопад 21, 2025	Дод ано розділ Часті запитання. Додано Налаштування резервного центру обробки даних для аварійного відновлення та аварі йного відновлення за допомогою розділів Центру обробки даних у режимі очікування. Вилучено (бета-версія) із заголовка посібника з розгортання.
08 травня 2025 р.	Додано Перемістити існуюче розгортання HDS для одного орендаря партнерської організації в Контрольному центрі до налаштування HDS для кількох орендарів у розділі Partner Hub. Оновлено виведення syslog для покращення читабельності в розділі Тестування розгортання гібридної безпеки даних. Оновлені вимоги до віртуального хо ста, гібридний потік завдань розгортання безпеки даних та встановлення HDS Host OVA для додавання підтримки ESXi 8.0.
Березень 04, 2025	Додано Запустити інструмент налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до робочого столу Docker, що надає клієнтам альтернативну опцію з відкритим кодом. Оновлено Створіть ISO конфігурації для хостів HDS та змініть конфігурацію вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
Січень 30, 2025	Додано SQL сервер версії 2022 до списку підтримуваних серверів SQL у вимогах до сервера бази даних.
Січень 15, 2025	Додані обмеження безпеки гібридних даних для кількох орен дарів.
Січень 08, 2025	Додано примітку в розділі Виконати початкове налаштування та завантажити інсталяційні файли із зазначенням, що нати скання кнопки Налаштувати на картці HDS у Partner Hub є важливим кроком процесу встановлення.
Січень 07, 2025	Оновлені вимоги віртуального хо ста, гібридний потік завдань розгортання безпеки даних та встановлення HDS Host OVA, щоб показати нові вимоги ESXi 7.0.
Грудень 13, 2024	Вперше опубліковано.

Почніть роботу з гібридною безпекою даних для кількох орендарів

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основною увагою при розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування вмісту, яке увімкнено клієнтами Webex App, які взаємодіють із Службою керування ключами (KMS). KMS відповідає за створення та управління криптографічними ключами, які клієнти використовують для динамічного шифрування та розшифровки повідомлень та файлів.

За замовчуванням всі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмар ному KMS, у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не має ключів до вашого зашифрованого вмісту.

Гібридна безпека даних для кількох орен дарів дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати в якості постачальника послуг та керувати локальним шифруванням та іншими службами безпеки. Ця настройка дозволяє організації-партнеру мати повний контроль над розгортанням та управлінням ключами шифрування та гарантує безпеку даних користувачів організацій-клієнтів від зовнішнього доступу. Організації-партнери налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати декілька організацій-клієнтів, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль над розгортанням та управлінням, вони не мають доступу до даних та вмісту, створених клієнтами. Цей доступ обмежений організаціями-клієнтами та їх користувачами.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, як-от центри обробки даних, належать надійному місцевому партнеру.

Як багатоквартирна гібридна безпека даних забезпечує суверенітет даних та контроль даних

Контент, створений користувачами, захищений від зовнішнього доступу, як постачальники хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо це надається партнером.
Підтримує вміст нарад, обміну повідомленнями та дзвінками.

Цей документ спрямований на допомогу організаціям-партнерам у створенні та управлінні клієнтами в рамках системи гібридної безпеки даних для кількох орендарів.

Обмеження безпеки гібридних даних для кількох орендарів

Організації-партнери не повинні мати активного розгортання HDS у Центрі керування.
Організації орендарів або клієнтів, які бажають керувати ними партнер, не повинні мати існуючого розгортання HDS у Центрі керування.
Після того, як партнер розгортає HDS для кількох орендарів, усі користувачі організацій-клієнтів, а також користувачі партнерської організації починають використовувати HDS Multi-Tenant для своїх служб шифрування.

Організація-партнер і клієнтські організації, якими вони керують, матимуть однакове розгортання HDS для кількох орендарів.

Організація-партнер більше не буде використовувати хмарний KMS після розгортання HDS для кількох орендарів.
Немає механізму переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в безпеці гібридних даних для кількох орендарів

Повний адміністратор партнер а - може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Можна також призначати ролі адміністратора існуючим користувачам в організації та призначати конкретних клієнтів, якими керують адміністратори-партнери.
Адміністратор партнер а - може керувати налаштуваннями для клієнтів, яких адміністратор надав або які були призначені користувачеві.
Повний адміністратор - Адміністратор організації-партнера, який уповноважений виконувати такі завдання, як зміна налаштувань організації, управління ліцензіями та призначення ролей.

Налаштування та управління HDS Multi-Tenant для всіх організацій-клієнтів від кінця до кінця - Потрібні повні права адміністратора партнера та Повні права адміністратора.
Управління призначеними організаціями-орендар ями - Потрібні права адміністратора партнера та Повні права адміністратора.

Архітектура сфери безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі сфери або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, давайте спочатку подивимося на цей чистий хмарний кейс, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від сфери, де в кінцевому підсумку зберігається зашифрований вміст, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача, і він пройшов аутентифікацію за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання на пробіл, виконуються наступні дії:

Клієнт встановлює безпечне з'єднання зі службою управління ключами (KMS), потім запитує ключ для шифрування повідомлення. Безпечне з'єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується до того, як воно покине клієнт. Клієнт надсилає його службі індексації, яка створює зашифровані пошукові індекси, щоб допомогти в майбутніх пошуках вмісту.
Зашифроване повідомлення надсилається службі відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається у сховищі.

Коли ви розгортаєте гібридну безпеку даних, ви переміщуєте функції сфери безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні сервіси, що складають Webex (включаючи зберігання ідентифікацій та вмісту), залишаються у сферах Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати додаток Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли хтось із ваших користувачів запитує ключ для простору, який належить вашій організації (оскільки він був створений одним із ваших користувачів), ваш KMS надсилає ключ клієнту через захищений ECDH канал. Однак, коли інша організація володіє ключем для простору, ваш KMS спрямовує запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідного KMS, а потім повертає ключ вашому користувачеві на вихідному каналі.

Служба KMS, що працює на Org A, перевіряє з'єднання з KMS в інших організаціях за допомогою сертифікатів x.509 PKI. Доклад ніші відомості про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних для кількох орендарів див. у розділі Підготовка середовища.

Очікування щодо впровадження гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних із володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Захищений центр обробки даних у країні, яка є підтримуваним місцем для Cisco Webex Teamsплан ів.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата або ISO конфігурації, яку ви створили для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа перешкоджає користувачам розшифровувати вміст простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керуйте резервним копіюванням та відновленням бази даних та конфігурацією ISO.
Будьте готові до швидкого відновлення після аварії, якщо трапиться катастрофа, наприклад, збій диска бази даних або аварія в центрі обробки даних.

Міграція з багатоквартирного гібридного захисту даних (HDS) на хмарний KMS Webex не підтримується. Виведення HDS з експлуатації призведе до втрати доступу до вмісту та даних, попередньо зашифрованих цими ключами. Ви повинні зберегти HDS, щоб зберегти доступ до існуючого зашифрованого вмісту.

Процес налаштування високого рівня

Цей документ охоплює налаштування та управління розгортанням гібридної безпеки даних для кількох орендарів:

Налаштування гібридної безпеки даних — це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення для гібридної безпеки даних, побудову кластера HDS, додавання організацій-орендарів до кластера та управління основними ключами клієнтів (CMK). Це дозволить всім користувачам ваших організацій-клієнтів використовувати кластер Hybrid Data Security для функцій безпеки.

Фази налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та залучити підтримку Cisco за потреби. Ви можете використовувати сповіщення на екрані та налаштовувати сповіщення на основі електронної пошти в Partner Hub.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей та відомими пробле мами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток Відомі проблеми можуть допомогти вам визначити та виправити проблему.

Модель розгортання гібридної безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли спілкуються з хмарою Webex через захищені веб-сокети та захищений HTTP.

Під час інсталяції ми надаємо вам файл OVA для налаштування віртуального пристрою на віртуальних машин, які ви надаєте. Інструмент налаштування HDS використовується для створення власного ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви можете налаштувати дані про підключення Syslogd та бази даних у Інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які ви можете мати в кластері, становить два. Ми рекомендуємо принаймні три на кластер. Наявність декількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або іншої діяльності з обслуговування вузла. (Хмара Webex оновлює лише один вузол одночасно.)

Усі вузли в кластері отримують доступ до одного і того ж сховища даних ключів і реєструють активність на одному сервері syslog. Самі вузли не мають статусу і обробляють ключові запити в круговому режимі, відповідно до вказівок хмари.

Вузли стають активними, коли ви реєструєте їх у партнерському центрі. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його з реєстрації, а пізніше перезареєструвати, якщо це необхідно.

Підтримка проксі

Гібридна безпека даних підтримує явну, прозору перевірку та неперевірку проксі-сервера. Ви можете прив'язати ці проксі-сервери до свого розгортання, щоб ви могли захистити та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для керування сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Вузли гібридної безпеки даних підтримують такі параметри проксі-сервера:

Немає прок сі-сервера — типове значення, якщо ви не використовуєте налаштування вузла HDS для інтеграції проксі-сервера для зберігання довіри та проксі. Оновлення сертифіката не потрібно.
Прозорий проксі-сервер, який не перевіряє — вузли не налаштовані на використання певної адреси проксі-сервера і не повинні вимагати жодних змін для роботи з проксі-сервером, який не перевіряє. Оновлення сертифіката не потрібно.
Прозоре тунелювання або перевірка проксі -сервера — вузли не налаштовані на використання певної адреси проксі-сервера. Зміни конфігурації HTTP або HTTPS у вузлах не потрібні. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Проксі-сервери, що перевіряють, зазвичай використовуються ІТ для забезпечення політики щодо того, які веб-сайти можна відвідувати, а які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер —За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему аутентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію по кожному вузлу:
1. Проксі IP/FQDN — Адреса, яку можна використовувати для доступу до проксі-машини.
2. Про@@ ксі-порт — номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Проксі-протокол - Залежно від того, що підтримує ваш проксі-сервер, виберіть один з наступних протоколів:
  - HTTP — переглядає та контролює всі запити, які надсилає клієнт.
  - https — надає канал для сервера. Клієнт отримує і перевіряє сертифікат сервера.
4. Тип аутенти фікації — Виберіть один із наступних типів аутентифікації:
  - Немає. Подальша аутентифікація не потрібна.
    
    Доступно, якщо ви вибрали HTTP або HTTPS як протокол проксі-сервера.
  - Basic — Використовується для агента користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо ви вибрали HTTP або HTTPS як протокол проксі-сервера.
    
    Потрібно ввести ім'я користувача та пароль на кожному вузлі.
  - Дайдже ст —Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію на ім'я користувача та пароль перед відправкою по мережі.
    
    Доступно лише в тому випадку, якщо ви вибрали HTTPS як протокол проксі-сервера.
    
    Потрібно ввести ім'я користувача та пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних та проксі

Ця діаграма показує приклад з'єднання між гібридною безпекою даних, мережею та проксі. Для проксі-сервера прозорої перевірки та явної перевірки HTTPS один і той же кореневий сертифікат повинен бути встановлений на проксі-сервері та на вузлах гібридної безпеки даних.

Заблокований режим зовнішнього вирішення DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS та підключення до Cisco Webex хмари. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокованої зовнішньої розв'язки DNS. У цьому режимі може тривати реєстрація вузлів та інші тести підключення проксі-сервера.

Підготуйте своє оточення

Вимоги до безпеки гібридних даних для кількох орендарів

Cisco Webex Вимоги до ліцензії

Щоб розгорнути гібридну безпеку даних для кількох орендарів:

Організації орендарів: Ви повинні мати Pro Pack дляCisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібен Docker Desktop для запуску програми налаштування. Docker нещодавно оновив свою модель ліцензування. Вашій організації може знадобитися платна підписка на Docker Desktop. Для отримання детальної інформації див. Допис у блозі Docker «Docker оновлює та розширює підписки на наші продукти ».

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, як-от Podman Desktop, для запуску, керування та створення контейнерів. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

X.509 Вимоги до сертифіката

Ланцюжок сертифікатів повинен відповідати наступним вимогам:

Таблиця 1. Вимоги до сертифікату X.509 для розгортання гібридної безпеки даних
вимога	Подробиці
Підписано довіреною особ Certificate Authority ою (CA)	За замовчуванням ми довіряємо CA у списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я загального імені (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є сертифікатом підстановки	CN не повинен бути доступним або живим господарем. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com.` CN не повинен містити символі* (символ підстановки). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той же сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях X.509v3 SAN. Після того, як ви зареєстрували вузол з цим сертифікатом, ми не підтримуємо зміну доменного імені CN.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки з'єднань з KMS інших організацій.
Відформатовано як захищений паролем файл PKCS #12 Використовуйте дружню назву `kms-private-key`, щоб позначити сертифікат, приватний ключ та будь-які проміжні сертифікати для завантаження.	Ви можете використовувати конвертер, такий як OpenSSL, щоб змінити формат сертифіката. Вам потрібно буде ввести пароль під час запуску HDS Setup Tool.
Підтримується алгоритм	Підтримуються лише сертифікати RSA.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікатів вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключів, наприклад автентифікація сервера. Добре використовувати аутентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуватимете як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хости (рекомендується 3) розміщені в одному захищеному центрі обробки даних
Підтримувані гіпервізори:
- VMware ESXi 7.0 або 8.0.
- Програмне забезпечення інфраструктури віртуалізації корпоративних мережевих функцій Cisco (NFVIS) версії 26.2.1.
- Нутанікс АОС 7.5.х з Nutanix AHV 11.0.x.
Мінімум 4 vCPU, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервері.

Вимоги до сервера баз даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Існує два варіанти сервера баз даних. Вимоги до кожного такі:

Таблиця 2. Вимоги до сервера баз даних за типом бази даних
PostgreSQL	Сервер Microsoft SQL
PostgreSQL 14, 15, 16, 17 або 18, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (корпоративний або стандартний). Для SQL Server 2016 потрібні пакет оновлень 2 та сукупне оновлення 2 або новішої версії.
Мінімум 8 vCPU, 16 Гб основної пам'яті, достатній простір на жорсткому диску та моніторинг, щоб переконатися, що він не перевищується (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшувати сховище)	Мінімум 8 vCPU, 16 Гб основної пам'яті, достатній простір на жорсткому диску та моніторинг, щоб переконатися, що він не перевищується (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшувати сховище)

Програмне забезпечення HDS наразі встановлює наступні версії драйверів для зв'язку з сервером бази даних:

PostgreSQL

Сервер Microsoft SQL

Драйвер JDBC Постгрес 42.2.5

Драйвер JDBC-сервера SQL 4.6

Ця версія драйверів підтримує SQL Server Always On («Завжди включені екзе мпляри кластера з відмовою» та групи доступності «Завжди включено»).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до бази даних сховища ключів на Microsoft SQL Server, вам потрібна наступна конфігурація у вашому середовищі:

Вузли HDS, Active Directory інфраструктура та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до читання/запису до бази даних.
Сервери DNS, які ви надаєте вузлам HDS, повинні мати можливість розв'язати ваш Центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на своєму Microsoft SQL Server як основне ім'я служби (SPN) на своєму. Active Directory Див. Реєстрація головного імені служби для з'єднань Kerberos.

Інструмент налаштування HDS, запуск HDS та локальний KMS повинні використовувати аутентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують деталі з вашої конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити наступне підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Пункт призначення
Гібридні вузли безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости загальної ідентичності Інші URL-адреси, перелічені для захисту гібридних даних у таблиці Додаткові URL-адреси для гібридних служб Webex у М ережевих вимогах для служб We bex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости загальної ідентичності хаб.докер.com

Вузли гібридної безпеки даних працюють з перекладом мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє здійснювати необхідні вихідні з'єднання з пунктами призначення домену в попередній таблиці. Для з'єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 та 22 для адміністративних цілей.

URL-адреси хостів спільної ідентичності (CI) залежать від регіону. Це поточні хости CI:

Регіон	Загальні URL-адреси хоста ідентифікації
Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канади	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
ОАЕ	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі-пристрій веб-безпеки Cisco (WSA).
- Явний проксі—кальмар.
  
  Проксі-сервери Squid, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з'єднань з веб-сокетом (wss:). Щоб вирішити цю проблему, див. розділ Налаштування про ксі-серверів Squid для захисту гібридних даних.
Ми підтримуємо наступні комбінації типів аутентифікації для явних проксі-серверів:
- Відсутність аутентифікації за допомогою HTTP або HTTPS
- Базова аутентифікація за допомогою HTTP або HTTPS
- Аутентифікація дайджесту лише за допомогою HTTPS
Для прозорого оглядового проксі-сервера або явного проксі-сервера HTTPS у вас повинна бути копія кореневого сертифіката проксі-сервера. Інструкції з розгортання, наведені в цьому посібнику, розповідають, як завантажити копію до сховищ довіри вузлів гібридної безпеки даних.
Мережа, яка розміщує вузли HDS, повинна бути налаштована так, щоб примусово маршрутизувати вихідний TCP-трафік на порту 443 через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникне, обхід (не перевірка) трафіку на wbx2.com і ciscospark.com вирішить проблему.

Виконайте передумови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові встановити та налаштувати кластер гібридного захисту даних.

1	Переконайтеся, що у вашій організації не ввімкнено HDS у Центрі керування, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що у вашій організації клієнтів Webex увімкнено Pro Pack дляCisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера облікового запису, щоб отримати допомогу з цим процесом. Організації-замовники не повинні мати існуючого розгортання HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, приватний ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів повинен відповідати вимогам вимог до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Вам потрібно щонайменше два окремих хости (рекомендовано 3) розміщені в одному захищеному центрі обробки даних, які відповідають вимогам у Вимогах віртуального хоста.
4	Підготуйте сервер бази даних, який буде виконувати роль сховища ключових даних для кластера відповідно до вимог сервера бази даних. Сервер бази даних повинен бути розміщений у захищеному центрі обробки даних з віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.) Зберіть деталі, які вузли використовуватимуть для зв'язку з сервером бази даних: ім'я хоста або IP-адреса (хост) і порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма привілеями на базі даних зберігання ключів
5	Для швидкого відновлення після аварії налаштуйте середовище резервного копіювання в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера баз даних. Наприклад, якщо у виробництві є 3 віртуальні машини з вузлами HDS, у середовищі резервного копіювання має бути 3 віртуальні машини.
6	Налаштуйте хост syslog для збору журналів з вузлів у кластері. Зберіть його мережеву адресу та порт syslog (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера баз даних та хост syslog. Як мінімум, щоб запобігти невідновленій втраті даних, необхідно створити резервну копію бази даних та файлу ISO конфігурації, створеного для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування вмісту, невиконання оперативного розгортання призведе до НЕВІДНОВЛЮВАН ОЇ ВТРАТИ цього вмісту. Клієнти Webex App кешують свої ключі, тому відключення може бути помітним не відразу, але з часом стане очевидним. Хоча тимчасові відключення неможливо запобігти, вони підлягають відновленню. Однак повна втрата (немає резервних копій) або бази даних або файлу ISO конфігурації призведе до невідновлення даних клієнта. Очікується, що оператори вузлів Hybrid Data Security підтримуватимуть часті резервні копії бази даних та файлу ISO конфігурації та будуть готові відновити центр обробки даних Hybrid Data Security, якщо трапиться катастрофічний збій.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключати вузли гібридної безпеки даних, як зазначено у Вимогах зовнішнього підключення.
9	Встановіть Docker (https://www.docker.com) на будь-якій локальній машині з підтримуваною ОС (Microsoft Windows10 Professional або Enterprise 64-bit або Mac OSX Yosemite 10.10.3 або вище) за допомогою веб-браузера, який може отримати доступ до нього за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, вам знадобиться ліцензія Docker Desktop. Докладніші відомості див. у розділі Вимоги до робочого столу Docker. Щоб встановити та запустити Інструмент налаштування HDS, локальний комп'ютер повинен мати підключення, зазначене у Вимогах зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер з гібридною безпекою даних, переконайтеся, що він відповідає вимогам проксі-сервера.

Налаштування гібридного кластера безпеки даних

Потік завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на локальну машину для подальшого використання.
2	Створіть ISO конфігурації для хостів HDS Скористайтеся Інструментом налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановіть HDS Host OVA Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Налаштування мережевих налаштувань під час розгортання OVA підтримується лише на ESXi 7.0 та 8.0. Для розгортання NFVIS див. розділ Встановлення OVA хоста HDS на NF VIS. Для розгортання Nutanix див. розділ Встановлення HDS Host OVA на Nut anix
4	Налаштування віртуальної машини з гібридною безпекою даних Увійдіть у консоль віртуальної машини та встановіть облікові дані для входу. Налашту йте параметри мережі для вузла, якщо ви не налаштували їх під час розгортання OVA. Для розгортання NFVIS див. розділ Налаштування віртуальної машини з гібридною безпекою даних на NF VIS. Для розгортання Nutanix див. розділ Створення віртуальної машини з гібридною безпекою даних на Nutanix
5	Завантажте та монтуйте ISO конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, створеного за допомогою HDS Setup Tool. Для розгортання NFVIS див. статтю Завантаження та змонтування ISO конфігурації HDS. Для розгортання Nutanix див. Завантаження та змонтування ISO кон фігурації HDS
6	Налаштування вузла HDS для інтеграції проксі-сервера Якщо мережеве середовище вимагає конфігурації проксі-сервера, вкажіть тип проксі-сервера, який ви будете використовувати для вузла, і додайте сертифікат проксі-сервера до сховища довіри, якщо це необхідно.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину Cisco Webex в хмарі як гібридний вузол безпеки даних.
8	Створюйте та реєструйте більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS для кількох орендарів у партнерському центрі. Активуйте HDS та керуйте організаціями орендарів у Partner Hub.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп'ютер (а не на сервери, які ви налаштували як вузли гібридної безпеки даних). Цей файл ви використовуєте пізніше в процесі інсталяції.

1	Увійдіть у Партнерський центр, а потім натисніть Служби.
2	У розділі Гібрид знайдіть карту безпеки гібридних даних, а потім натисніть кнопку Налаштувати. Натискання кнопки Налаш тувати в Partner Hub має вирішальне значення для процесу розгортання. Не продовжуйте установку, не виконуючи цей крок.
3	Натисніть кнопку Додати ресурс і натисніть Завантажити файл.OVA на карт ці «В становити та налаштувати програмне забезпечення». Старі версії програмного пакета (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію файлу OVA. Ви також можете завантажити OVA в будь-який час з розділу Довід ка. Натисніть Налаш тування > Довід ка > Завантажити програмне забезпечення для гібридної безпеки даних. Файл OVA автоматично починає завантажуватися. Збережіть файл у місці на вашому комп'ютері.

Створіть ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

Перш ніж почати

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете використовувати Podman Desktop для запуску інструменту налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без аутентифікації

ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT

HTTPS-проксі без аутентифікації

ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-проксі з аутентифікацією

ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з аутентифікацією

ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку комп'ютера введіть відповідну команду для вашого середовища:

У звичайних умовах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.

2

Щоб увійти в реєстр образів Docker, введіть наступне:

docker login -u hdscustomersro

3

У рядку введення пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних умовах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Коли витяг завершиться, введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з HTTP-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах з проксі-сервер HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTP-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з проксі-сервер HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веб-браузером, щоб перейти до localhost, http://127.0.0.1:8080, і введіть ім'я користувача адміністратора для Партнерського центру під запитом.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.

7

Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.

8

На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Н і. Якщо ви створюєте свій перший вузол HDS, у вас немає файлу ISO для завантаження.
Так. Якщо ви вже створили вузли HDS, виберіть файл ISO в браузері та завантажте його.

10

Переконайтеся, що ваш сертифікат X.509 відповідає вимогам вимог до сертифікатів X.509.

Якщо раніше ви ніколи не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть кнопку Продов жити.
Якщо ваш сертифікат в порядку, натисніть кнопку Про довжити.
Якщо термін дії сертифіката закінчився або ви хочете його замінити, виберіть Ні для пункту Про дов жити використання ланцюжка сертифікатів HDS та приватного ключа з попереднього ISO? . Завантажте новий сертифікат X.509, введіть пароль і натисніть кнопку Продов жити.

11

Введіть адресу бази даних та обліковий запис HDS для доступу до вашого ключового сховища даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви вибере те Microsoft SQL Server, ви отримаєте поле Тип автентифікації.
(Ли ше Microsoft SQL Server) Виберіть тип автентифікації:
- Базова автенти фікація: вам потрібно ім'я локального облікового запису SQL Server в полі Ім'я користувача.
- Аутентифікація Windows: Вам потрібен обліковий запис Windows у форматі ім'я користувача @DOMAIN у полі Ім'я користувача.
Введіть адресу сервера бази даних у формі: <hostname><port>або: <IP-address><port>.

Приклад:
dbhost.example. org: 1433 або 198,51,100. 17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для розпізнавання імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повністю кваліфіковане доменне ім'я у форматі db host.example.org:1433
Введіть ім'я бази даних.
Введіть ім'я користувача та пароль користувача з усіма привілеями на базі даних зберігання ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддайте перевагу TLS (параме тр за замовчуванням)	Вузли HDS не потребують TLS для підключення до сервера бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з'єднання.
Вимагати TLS	Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS.
Вимагайте TLS та перевірте підписанта сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS. Після встановлення з'єднання TLS вузол порівнює підписанта сертифіката з сервера бази даних з органом сертифікатів у кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під розкривним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагайте TLS та перевірте підписанта сертифіката та ім'я хоста	Вузли HDS підключаються лише в тому випадку, якщо сервер бази даних може домовлятися про TLS. Після встановлення з'єднання TLS вузол порівнює підписанта сертифіката з сервера бази даних з органом сертифікатів у кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з'єднання. Вузли також перевіряють, що ім'я хоста в сертифікаті сервера відповідає імені хоста в полі хост і порт бази даних. Імена повинні точно збігатися, інакше вузол припиняє з'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під розкривним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (якщо необхідно) і натискаєте кнопку Про довжити, Інструмент налаштування HDS перевіряє з'єднання TLS з сервером бази даних. Інструмент також перевіряє підписанта сертифіката та ім'я хоста, якщо це можливо. Якщо перевірка не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку та продовжувати налаштування. (Через відмінності в підключенні вузли HDS можуть встановити з'єднання TLS, навіть якщо верстат HDS Setup Tool не зможе успішно перевірити його.)

13

На сторінці Системні журнали налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер не може розв'язуватися DNS-вузлами для вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp: //10.92.43. 23:514 вказує на вхід на хост Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштований ваш сервер для переговорів/рукостискання TLS? .

Якщо встановити цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, наприклад tcp: //10.92.43. 23:514, і завантажте кореневий сертифікат syslog.
У спадному меню Вибрати завершення запису syslog виберіть відповідний параметр для вашого файлу ISO: Вибрати або Новий рядок використовується для Graylog та Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -\ n - Виберіть цей вибір для Graylog та Rsyslog TCP.
Натисніть «Продовжити».

14

(Необов'язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткових налаштуваннях. Як правило, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть кнопку Продов жити на екрані Скинути пароль облікових запи сів служби.

Паролі облікових записів служби мають дев'ятимісячний термін служби. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб визнати недійсними попередні файли ISO.

16

Натисніть Завантажити файл ISO. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію файлу ISO у вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.

18

Щоб вимкнути інструмент «Налаштування», введіть CTRL+C.

Що робити далі

Створіть резервну копію конфігураційного файлу ISO. Він потрібен для створення більшої кількості вузлів для відновлення або внесення змін у конфігурацію. Якщо ви втратите всі копії файлу ISO, ви також втратили головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливо.

Ми ніколи не маємо копії цього ключа і не можемо допомогти, якщо ви його втратите.

Встановіть HDS Host OVA

Скористайтеся цією процедурою, щоб створити віртуальну машину з файлу OVA.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Встановлення OVA хоста HDS на NF VIS.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Встановлення HD S Host OVA на Nut anix.

1	Використовуйте клієнт VMware vSphere на своєму комп'ютері для входу в віртуальний хост ESXi.
2	Виберіть «Файл» > «Розгорнути шаблон OVF».
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку Далі.
4	На сторінці Ви брати ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, «HDS_Node_1"), виберіть місце, де може розміщуватися розгортання вузла віртуальної машини, а потім натисніть кнопку Далі.
5	На сторінці Ви брати обчислювальний ресурс виберіть цільовий обчислювальний ресурс, а потім натисніть кнопку Далі. Запускається перевірка валідації. Після його закінчення з'являються деталі шаблону.
6	Перевірте деталі шаблону, а потім натисніть кнопку Далі.
7	Якщо вам буде запропоновано вибрати конфігурацію ресурсу на сторінці Кон фігура ція, натисніть 4 CPU, а потім натисніть кнопку Далі.
8	На сторінці Ви брати схови ще натисніть кнопку Далі, щоб прийняти стандартний формат диска та політику зберігання віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Н алаштування шабло ну налаштуйте наступні параметри мережі: Ім'я вуз ла — введіть FQDN (ім'я хоста та домен) або одне слово ім'я вузла. Вам не потрібно встановлювати домен так, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише символи малих літер у FQDN або імені хоста, які ви встановили для вузла. На даний момент капіталізація не підтримується. Загальна довжина FQDN не повинна перевищувати 64 символів. IP-адреса — Введіть IP-адресу для внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та ім'я DNS. DHCP не підтримується. Маска — введіть адресу маски підмережі в точково-десятковому позначенні. Наприклад, 255.255.255.0. Шлю з —Введіть IP-адресу шлюзу. Шлюз - це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери — введіть список DNS-серверів, розділений комами, які обробляють переклад доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери - Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, для введення декількох серверів NTP. Розгортайте всі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію мережевих налаштувань і виконати дії в розділі Н алаштування віртуальної машини з гібридного захисту даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих налаштувань під час розгортання OVA була протестована за допомогою ESXi 7.0 та 8.0. Опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть пункт «Жив лення» > «Увімк нення Програмне забезпечення гібридної безпеки даних встановлюється як гостьова система на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправ У вас може виникнути затримка на кілька хвилин до того, як з'являться контейнери вузлів. Повідомлення брандмауера Bridge з'являється на консолі під час першого завантаження, під час якого ви не можете ввійти.

Налаштування віртуальної машини з гібридною безпекою даних

Скористайтеся цією процедурою, щоб вперше увійти в консоль віртуальної машини вузла Гібридного захисту даних і встановити облікові дані для входу. Ви також можете скористатися консоллю для налаштування мережевих налаштувань вузла, якщо ви не налаштували їх під час розгортання OVA.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Налаштування віртуальної машини з гібридною безпекою даних на NFVIS.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Створення віртуальної машини з гібридною безпекою даних на Nutanix.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Гібридної безпеки даних і виберіть вкладку Кон соль. ВМ завантажується і з'являється запит на вхід. Якщо не відображається запит на вхід, натисніть Enter.
2	Для входу та зміни облікових даних використовуйте такі типові логін та пароль: Логін: `адмін` Пароль: ци `скосистеми` Оскільки ви входите в систему віртуальної машини вперше, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установці HDS Host OVA, пропустіть решту цієї процедури. В іншому випадку в головному меню виберіть параметр Реда гувати конфігура цію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією DNS. Ваш вузол повинен мати внутрішню IP-адресу та ім'я DNS. DHCP не підтримується.
5	(Необов'язково) Змініть ім'я хоста, домен або сервери NTP, якщо потрібно відповідати вашій мережевій політиці. Вам не потрібно встановлювати домен так, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни вступили в силу.

Завантажте та монтуйте ISO конфігурації HDS

Скористайтеся цією процедурою, щоб налаштувати віртуальну машину з файлу ISO, створеного за допомогою HDS Setup Tool.

Якщо ви розгортаєте HDS на гіпервізорі NFVIS, див. розділ Завантаження та змонтування ISO конфігурації HD S.

Якщо ви розгортаєте HDS на гіпервізорі Nutanix, див. розділ Завантаження та змонтування конфігурації HDS ISO.

Перш ніж почати

Оскільки файл ISO містить головний ключ, його слід відкривати лише на основі «потрібно знати» для доступу віртуальних машин з гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внесення змін. Переконайтеся, що доступ до сховища даних мають лише ті адміністратори.

1

Завантажте файл ISO зі свого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку «Обладнання» на вкладці Конфігурація натисніть С ховище.
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і натисніть кнопку Огляд сховища даних.
Натисніть на значок Завантажити файли, а потім натисніть Завантажити файл.
Перейдіть до місця, де ви завантажили файл ISO на свій комп'ютер, і натисніть Відкрити.
Натисніть кнопку Так, щоб прийняти попередження про операцію завантаження/завантаження та закрийте діалогове вікно зберігання даних.

2

Змонтуйте файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Реда гувати налаштування.
Натисніть кнопку OK, щоб прийняти попередження про обмеження параметрів редагування.
Натисніть Привід CD/DVD 1, виберіть параметр монтування з файлу ISO сховища даних та перейдіть до місця, куди ви завантажили файл ISO конфігурації.
Перевір те Під ключення та Підключення при включенні живлення.
Збережіть зміни і перезавантажте віртуальну машину.

Що робити далі

Якщо це вимагає ваша ІТ-політика, ви можете необов'язково демонтувати файл ISO після того, як усі ваші вузли приймуть зміни конфігурації. Докладніші відомості див. у розділі (Додатково) Демонтування ISO після конфігурації HDS.

Налаштування вузла HDS для інтеграції проксі-сервера

Якщо мережеве середовище вимагає проксі-сервера, скористайтеся цією процедурою, щоб вказати тип проксі-сервера, який потрібно інтегрувати з гібридною безпекою даних. Якщо ви вибрали прозорий проксі-сервер для перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити з'єднання проксі-сервера з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Огляд підтрим уваних параметрів проксі-сервера див. Підтримка проксі-сервера.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS IP або FQDN] /setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Довірчого магазину та прок сі, а потім виберіть опцію: Без проксі -сервера — параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібно. Прозорий неперевірений проксі-сервер — вузли не налаштовані на використання певної адреси проксі-сервера і не повинні вимагати жодних змін для роботи з проксі-сервером, який не перевіряє. Оновлення сертифіката не потрібно. Прозора перевірка проксі-сервера — вузли не налаштовані на використання певної адреси проксі-сервера. Зміни конфігурації HTTPS не потрібні для розгортання гібридної безпеки даних, однак вузли HDS потребують кореневого сертифіката, щоб вони довіряли проксі-серверу. Проксі-сервери, що перевіряють, зазвичай використовуються ІТ для забезпечення політики щодо того, які веб-сайти можна відвідувати, а які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер — за допомогою явного проксі-сервера ви повідомляєте клієнту (вузли HDS), який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після того, як ви виберете цей варіант, необхідно ввести наступну інформацію: Проксі IP/FQDN — Адреса, яку можна використовувати для доступу до проксі-машини. Про@@ ксі-порт — номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол — Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал серверу, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип аутенти фікації — Виберіть один із наступних типів аутентифікації: Немає. Подальша аутентифікація не потрібна. Доступно для проксі-серверів HTTP або HTTPS. Basic — Використовується для агента користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі-серверів HTTP або HTTPS. Якщо ви виберете цю опцію, ви також повинні ввести ім'я користувача та пароль. Дайдже ст —Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію на ім'я користувача та пароль перед відправкою по мережі. Доступно лише для проксі-серверів HTTPS. Якщо ви виберете цю опцію, ви також повинні ввести ім'я користувача та пароль. Виконайте наступні кроки для прозорого проксі-сервера для перевірки, явного проксі-сервера HTTP з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Натисніть кнопку Завантажити кореневий сертифікат або сертифікат кінцевої сут ності, а потім перейдіть до пункту виберіть кореневий сертифікат для проксі-сервера. Сертифікат завантажений, але ще не встановлений, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврон біля імені видавця сертифіката, щоб отримати докладнішу інформацію, або натисніть Ви дал ити, якщо ви допустили помилку і хочете повторно завантажити файл.
4	Натисніть Перевірити підключення до проксі-сервера, щоб перевірити мережеве підключення між вузлом і проксі-сервером. Якщо перевірка підключення не вдається, ви побачите повідомлення про помилку, яке показує причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішнє вирішення DNS не було успішним, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол буде функціонувати в режимі Blocked External DNS Resolution. Якщо ви вважаєте, що це помилка, виконайте ці дії, а потім перегляньте розділ Вимк нення блокованого зовнішнього режиму розв'язання DNS.
5	Після проходження тесту підключення для явного проксі-сервера, встановленого лише на https, увімкніть перемикач на Мар шрутизувати всі запити HTTPS порту 443/444 з цього вузла через явний проксі-сер вер. Ця настройка вимагає 15 секунд, щоб вступити в силу.
6	Натисніть кнопку Встановити всі сертифікати в сховище дові ри (з'являється для явного проксі-сервера HTTPS або прозорого проксі-сервера для перевірки) або Пере завантажити (з'являється для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку В станов ити, якщо ви готові. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла ввійдіть знову, якщо потрібно, а потім відкрийте сторінку «О гляд», щоб перевірити перевірку підключення, щоб переконатися, що всі вони мають зелений статус. Перевірка підключення до проксі-сервера тестує лише субдомен webex.com. Якщо є проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях щодо встановлення, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере загальний вузол, який ви створили в налаштуванні віртуальної машини з гібридною безпекою даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після того, як ви почнете реєстрацію вузла, ви повинні завершити його протягом 60 хвилин або ви повинні почати спочатку.
Переконайтеся, що блокування спливаючих вікон у вашому браузері вимкнено або дозволяєте виключення для admin.webex.com.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть кнопку Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі С творити нову картку кластер а введіть назву кластера, якому потрібно призначити вузол гібридного захисту даних. Рекомендуємо назвати кластер залежно від того, де вузли кластера розташовані географічно. Приклади: «Сан-Франциско» або «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Дод ати внизу екрана. Ця IP-адреса або FQDN має відповідати IP-адресі або імені хосту та домену, які ви використовували в Н алаштування віртуальної машини з гібридною безпекою даних. З'явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати вашій організації Webex дозволи на доступ до вашого вузла.
8	Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку «Гібридна безпека даних партнерського центру». На сторінці «Гібридна безпека даних» новий кластер, що містить зареєстрований вами вузол, відображається на вкладці «Ре сурси». Вузол автоматично завантажить новітнє програмне забезпечення з хмари.

Створюйте та реєструйте більше вузлів

Щоб додати додаткові вузли до вашого кластера, ви просто створюєте додаткові віртуальні машини і монтуєте той самий файл конфігурації ISO, а потім реєструєте вузол. Ми рекомендуємо мати не менше 3 вузлів.

Перш ніж почати

Після того, як ви почнете реєстрацію вузла, ви повинні завершити його протягом 60 хвилин або ви повинні почати спочатку.
Переконайтеся, що блокування спливаючих вікон у вашому браузері вимкнено або дозволяєте виключення для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки в розділі Встановлення HDS Host OVA.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки в розділі Н алаштування віртуальної машини з гібридною безпекою даних.
3	На новій віртуальній машині повторіть дії в розділі Завантаження та змонтування ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть дії в розділі Н алаштування вузла HDS для інтеграції проксі-сервера, якщо це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служ би з меню зліва на екрані. У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть Переглянути все. З'явиться сторінка Ресурси гібридної безпеки даних. Новостворений кластер з'явиться на сторінці Ре сурси. Клацніть на кластері, щоб переглянути вузли, призначені для кластеру. Натисніть Додати вузол праворуч на екрані. Введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати організації дозвіл на доступ до вашого вузла. Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку «Гібридна безпека даних партнерського центру». Спливаюче повідомлення, додане вуз лом, також з'являється внизу екрана в Partner Hub. Ваш вузол зареєстрований.

Що робити далі

Щоб створити додаткові кластери, увійдіть у Партнерський центр і натисніть Служби > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте дії, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів за допомогою гібридної безпеки даних для кількох орендарів

Активуйте HDS для кількох орендарів у партнерському центрі

Це завдання гарантує, що всі користувачі організацій-клієнтів можуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера HDS для кількох орендарів з необхідною кількістю вузлів.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Ре дагувати налаштування.
4	Натисніть Активувати HDS на картці статусу HDS.

Додавання організацій-орендарів у Partner Hub

У цьому завданні ви призначаєте організації-клієнтів до вашого гібридного кластеру безпеки даних.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієн ти. Вклад ка Призначені клієн ти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого хочете додати, зі спадного меню.
7	Натисніть Дод ати, клієнт буде доданий до кластеру.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до вашого кластеру.
9	Натис ніть Готово внизу екрана після додавання клієнтів. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що робити далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як описано в розділі Додавання організацій-орендарів у центрі партнер ів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих організацій-клієнтів.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

1	У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.
2	Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro`
3	У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веб-браузером, щоб перейти до localhost, `http://127.0.0.1:8080`, і введіть ім'я користувача адміністратора для Партнерського центру під запитом. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.
7	Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.
8	На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.
9	На сторінці Імпорт ISO натисніть кнопку Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вклад ку Управління КМК орен дарів, де ви знайдете наступні три способи управління КМК орендарів. Створити CMK для всіх ОРГАНІЗАЦІЙ або С творити CMK - Натисніть на цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх нещодавно доданих організацій. Натисніть кнопку Керування CM K у правій частині екрана та натисніть Створити CMK, щоб створити CM K для всіх нещодавно доданих організацій. Клацніть біля статусу керування CMK в очікуванні певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з управління CMK в очікуванні на кероване CM K.
13	Якщо створення CMK не вдалося, відобразиться помилка.

Видалення організацій орендарів

Перш ніж почати

Після видалення користувачі організацій-клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі простори. Перш ніж видаляти організації-клієнтів, зв'яжіться зі своїм партнером Cisco або менеджером облікових записів.

1	Увійдіть на https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Переглянути всі.
4	На сторінці, що відкриється, натисніть вкладку При значені клієн ти.
5	У списку організацій-клієнтів, які відображаються, натисніть праворуч від організації клієнта, яку ви хочете видалити, і натисніть Видалити з кластера.

Що робити далі

Завершіть процес видалення, скасувавши КМК організацій-замовників, як це детально описано в розділі Від кликати КМК орендарів, видалених з HDS.

Відкликати КМК орендарів, видалених з HDS.

Перш ніж почати

Видалення клієнтів, як описано в розділі Видалення організацій орендарів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій-клієнтів, які були видалені.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

1	У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати.
2	Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro`
3	У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080».
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веб-браузером, щоб перейти до localhost, `http://127.0.0.1:8080`, і введіть ім'я користувача адміністратора для Партнерського центру під запитом. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку входу.
7	Коли з'явиться запит, введіть облікові дані адміністратора Partner Hub, а потім натисніть У війти, щоб надати доступ до необхідних служб для захисту гібридних даних.
8	На сторінці огляду інструмента налаштування натисніть кнопку По чати роботу.
9	На сторінці Імпорт ISO натисніть кнопку Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вклад ку Управління КМК орен дарів, де ви знайдете наступні три способи управління КМК орендарів. Відкликати CMK для всіх ОРГ або Відкли кати CMK - Натисніть на цю кнопку на банері у верхній частині екрана, щоб відкликати CMK всіх організацій, які були видалені. Натисніть кнопку Керування C MM у правій частині екрана та натисніть Скасувати CMK, щоб відкликати КМ К усіх організацій, які були видалені. Клацніть біля КМК для відкликання статусу конкретної організації в таблиці і натисніть Відкликати КМК, щоб відкли кати КМК для цієї конкретної організації.
12	Після успішного скасування CMK організація замовника більше не відображатиметься в таблиці.
13	Якщо відкликання CMK не вдається, відобразиться помилка.

Перевірте розгортання гібридної безпеки даних

Скористайтеся цією процедурою для перевірки сценаріїв шифрування гібридної безпеки даних для кількох орендарів.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох орендарів.
Переконайтеся, що у вас є доступ до системного журналу, щоб переконатися, що ключові запити передаються до розгортання гібридної безпеки даних для кількох орендарів.

1

Клавіші для заданого простору встановлюються творцем простору. Увійдіть у програму Webex як один із користувачів організації-замовника, а потім створіть простір.

Якщо ви деактивуєте розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення в новий простір.

3

Перевірте вихід syslog, щоб переконатися, що ключові запити передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач нещодавно доданої організації-замовника виконує будь-яку дію, ідентифікатор організації з'явиться в журналах, і це може бути використано для перевірки того, що організація використовує HDS для кількох орендарів. Перевірте значення kms.data.orgID в системах.

Щоб перевірити, чи користувач спочатку встановив захищений канал до KMS, відфільтруйте за kms.data.method=create та kms.dat a.type=ephemeral_key_collection:

Ви повинні знайти такий запис, як наступний (ідентифікатори скорочені для читабельності):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує існуючий ключ з КМС, відфільтруйте за kms.data.method=та kms.dat a.type=key:

Ви повинні знайти такий запис, як:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити користувача, який запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.dat a.type=KEY_COLLECTION:

Ви повинні знайти такий запис, як:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи є користувач, який вимагає створення нового об'єкта ресурсу KMS (KRO) під час створення простору або іншого захищеного ресурсу, відфільтруйте за параметрами kms.data.method=create та kms. data.type=Resource_Collection:

Ви повинні знайти такий запис, як:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Інтерпретація журналів HDS та розуміння міток агентів

Журнали HDS надають детальну інформацію щодо запитів KMS. Ці журнали містять різні поля, які допомагають визначити характер запиту та пов'язану особу. Розуміння цих полів має важливе значення для правильної інтерпретації діяльності та надійних внутрішніх операцій.

Термінологія

Щоб забезпечити чіткість при перегляді журналів HDS, важливо розуміти такі терміни:

Термін	визначення
Сервісний рахунок	Ідентифікація служби, яка дозволяє службам Webex безпечно виконувати авторизовані дії.
Агент	Ідентифікація суб'єкта обслуговування або облікового запису служби, що використовується для виконання автоматизованих операцій у середовищі HDS.
Етикетка агента	Тег, включений у журнали HDS, який ідентифікує конкретне джерело та тип вхідного запиту, що забезпечує ефективний аудит контролю доступу.
Делегований доступ	Авторизований обліковий запис служби, який робить запит на певного користувача в межах дозволів цього користувача. З'являється як запит делег ування: `агент -> userid`.

Термін «Агент» в цьому контексті стосується конкретно ідентифікацій служб HDS. Вони не пов'язані з агентами на базі штучного інтелекту, які використовуються в інших функціях Webex.

Запит подається тільки тоді, коли він походить від:

автентифікованого користувача у вашій організації, або
облі ковий запис служби, який знаходиться у вашій організації та авторизований нею.

Огляд полів журналу

Поле	Що він представляє
Часова мітка	Дата і час проведення операції.
кмс. дані. Метод	Виконана операція KMS (наприклад, отримання).
кмс.дата.орглд	Ідентифікатор організації.
KMS.Data.HttpUserАгент	Клієнт або служба, що робить запит.
WEBEX_TRACKINGID	Унікальний ідентифікатор відстеження запиту.
Кмс.Дата.УріХост/кмс.дата.урі	Хост і ресурс, орієнтований на запит.
кмс.дата.userld	Ідентифікація, що виконує запит, включаючи мітку агента.
кмс.відповідь.успіх	Вказує, чи успішний запит.

Типи запитів - Коротка довідка

Тег в журналі	Етикетка агента	Що він представляє	Типові операції
Тип користувача: UserAgent	Агент користувача	Довірений обліковий запис служби, прив'язаний до робочого процесу користувача, визначений для вашої організації.	Створення/керування ключами для користувацького процесу.
o-агент <id>-> ідентифікатор користувача <id>	Організаційний агент	Обліковий запис довіреної служби на рівні організації з використанням делегованого доступу.	Видобуток даних Webex співробітником з комплаєнсу, інтеграція календаря.
c-агент <id>-> ідентифікатор користувача <id>	Хмарний агент	Служба Webex, яка виконує делегований запит для певного користувача.	Сканування вірусів, попередній перегляд вмісту, стенограми.
c-агент <id>	Хмарний агент	Служба Webex, яка виконує делегований запит.	ECDHE/ключі сеансу.
UUID кінцевого користувача	-	Аутентифікований кінцевий користувач, який взаємодіє з HDS.	Користувач отримує власний ключ.

Типи запитів - Докладно

Мітки агента класифікують джерело запиту та допомагають визначити відповідні елементи керування доступом. Наведені нижче приклади демонструють декілька типів запитів та мітки агентів, пов'язані з ними.

Агент користувача (UserAgent):

Це довірені облікові записи служб Webex, пов'язані з певними робочими процесами користувачів і охоплюються організації-замовником. Зазвичай вони використовуються, коли служба створює та керує ключами від імені робочого процесу користувача.

Зразок журналу:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує агента користувача (UserAgent), який виконує операції зі збору ресурсів для служби Webex.
Організаційний агент (o-агент):

Ці довірені облікові записи служб Webex уповноважені виконувати делеговані операції від імені користувачів у HDS. Розраховані на організацію-замовника, ці облікові записи виконують операції на рівні організації. Ця функціональність підтримує кілька функцій, таких як надання офіцерам з дотримання вимог можливості шукати та витягувати дані зв'язку Webex - забезпечуючи організаційне узгодження з нормативними нормативними стандартами, стандартами безпеки та конфіденційності даних.

Зразок журналу:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує агент організації (o-agent 9 [~] c), який отримує ключ від імені користувача (4 [~] b) для служби Webex.
Хмарний агент (c-агент):
Ці довірені облікові записи служб Webex уповноважені виконувати операції з HDS через делегований доступ від імені користувача. Вони підтримують основні функції - такі як записи після наради, стенограми, сканування проти шкідливих програм та попередній перегляд файлів, що покращують загальний досвід користувача.

Хоча хмарні агенти можна вимкнути шляхом зміни ISO, клієнти повинні знати, що це призведе до втрати функціональних можливостей, таких як записи після наради, стенограми, попередній перегляд файлів та автоматичне сканування проти шкідливих програм у Webex App Spaces. Докладніші відомості див. у розділі Вимкнення хмарних аген тів.

Зразок журналу:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ключовий індикатор: Зразок журналу показує хмарний агент (c-agent b [~] c), який отримує ключ вмісту від імені користувача (9 [~] c).

Пряма взаємодія кінцевого користувача:

Автентифікований користувач, який безпосередньо взаємодіє з HDS.

Зразок журналу:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключовий індикатор: Зразок журналу показує кінцевого користувача (c [~] f), який отримує ключ і безпосередньо взаємодіє з HDS.

Моніторинг стану гібридної безпеки даних

Індикатор стану в Partner Hub показує, чи все добре з розгортанням гібридної безпеки даних для кількох орендарів. Щоб отримати більш активні сповіщення, підпишіться на сповіщення електронною поштою. Ви будете отримувати сповіщення, коли з'являться тривоги, що впливають на сервіс, або оновлення програмного забезпечення.

1	У Партнер ському центрі виберіть Служби в меню ліворуч на екрані.
2	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Ре дагувати налаштування. З'явиться сторінка Параметри безпеки гібридних даних.
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте завдання, описані тут, щоб керувати розгортанням гібридної безпеки даних.

Встановити графік оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконується автоматично на рівні кластера, що гарантує, що всі вузли завжди працюють на одній версії програмного забезпечення. Оновлення проводяться відповідно до розкладу оновлення для кластера. Коли оновлення програмного забезпечення стане доступним, у вас є можливість вручну оновити кластер до запланованого часу оновлення. Ви можете встановити певний графік оновлення або використовувати графік за замовчуванням 3:00 щодня США: Америка/Лос-Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб встановити графік оновлення:

1	Увійдіть у Партнерський центр.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть Н алаштувати
4	На сторінці Ресурси гібридної безпеки даних виберіть кластер.
5	Натисніть на вкладку Параметри кластер а.
6	На сторінці Параметри кластера в розділі «Розклад оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітка: Під часовим поясом відображається наступна доступна дата та час оновлення. Ви можете відкласти оновлення на наступний день, якщо потрібно, натиснувши Від класти на 24 години.

Змініть конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з таких причин, як:

Зміна сертифікатів x.509 через закінчення терміну дії або з інших причин.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати оригінальному домену, який використовувався для реєстрації кластера.
Оновлення параметрів бази даних для зміни до копії бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL на Microsoft SQL Server або навпаки. Щоб переключити середовище бази даних, розпочніть нове розгортання гібридної безпеки даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, для цілей безпеки Hybrid Data Security використовує паролі облікових записів служби, які мають дев'ятимісячний термін служби. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх у кожному з ваших вузлів HDS у файлі конфігу рації ISO. Коли термін дії паролів вашої організації наближається до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису комп'ютера. (Електронний лист містить текст «Використовувати API облікового запису машини для оновлення пароля».) Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М'яке ски дання - старий і новий паролі працюють до 10 днів. Використовуйте цей період для поступової заміни файлу ISO на вузлах.
Hard reset - Старі паролі перестають працювати негайно.

Якщо ваші паролі закінчуються без скидання, це впливає на вашу службу HDS, вимага ючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл ISO конфігурації та застосувати його до вашого кластера.

Перш ніж почати

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, запустіть Docker на цій машині. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub з повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися програмою Podman Desktop для запуску інструменту налаштування HDS для кроків від 1.a до 1.e у наведеній нижче процедурі. Докладніші відомості див. у розділі Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Для створення нової конфігурації потрібна копія поточного файлу ISO конфігурації. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен, коли ви вносите зміни в конфігурацію, зокрема облікові дані бази даних, оновлення сертифікатів або зміни політики авторизації.

1	Використовуючи Docker на локальній машині, запустіть інструмент налаштування HDS. У командному рядку комп'ютера введіть відповідну команду для вашого середовища: У звичайних умовах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, він повертає помилку, яку ви можете ігнорувати. Щоб увійти в реєстр образів Docker, введіть наступне: `docker login -u hdscustomersro` У рядку введення пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних умовах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Переконайтеся, що ви скористалися останнім інструментом налаштування для цієї процедури. Версії інструменту, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Коли витяг завершиться, введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPSProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTP-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з проксі-сервер HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите «Експрес-прослуховування сервера на порту 8080». Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з'явиться запит, введіть облікові дані клієнта Partner Hub, а потім натисніть «Прийняти», щоб продовжити. Імпортуйте поточний файл ISO конфігурації. Дотримуйтесь підказок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб вимкнути інструмент «Налаштування», введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, ство ріть нову віртуальну машину з гібридним вузлом безпеки даних та зареєструйте його за допомогою нового файлу ISO конфігурації. Більш детальні інструкції див. у статті Створення та реєстрація інших вузлів. Встановіть основу HDS OVA. Налаштуйте віртуальну машину HDS. Змонтуйте оновлений файл конфігурації. Зареєструйте новий вузол в Partner Hub.
3	Для існуючих вузлів HDS, на яких запущено старий файл конфігурації, монтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол, перш ніж вимкнути наступний вузол: Для розгортання VMware: Вимкніть віртуальну машину HDS. У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Якщо файл ISO зараз прикріплений, від'єднайте його, перш ніж продовжувати. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Виберіть Під ключено та Під ключити під час увімкнення живлення. Збережіть зміни і живлення на віртуальній машині. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Вимкніть віртуальну машину HDS і дочекайтеся, поки її статус зміниться на Shutdown. Відкрийте Пристрої CD-ROM. Якщо файл ISO наразі прикріплений, від'єднайте його та перевірте, що жоден файл ISO не залишається прикріпленим. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації перелічено. Запустіть віртуальну машину HDS. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини. На вкладці «Підсу мок віртуальної машини» виберіть «Опер ації живлення» > «Увімкнути». Переконайтеся, що тривоги не виникають принаймні 15 хвилин.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному іншому вузлі, на якому запущено стару конфігурацію.

Вимкніть режим блокованої зовнішньої роздільної здатності DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS та підключення до Cisco Webex хмари. Якщо DNS-сервер вузла не може розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокованої зовнішньої розв'язки DNS.

Якщо ваші вузли здатні розпізнавати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторно запустивши тест проксі-з'єднання для кожного вузла.

Перш ніж почати

Переконайтеся, що ваші внутрішні сервери DNS можуть розпізнавати загальнодоступні імена DNS, і що ваші вузли можуть спілкуватися з ними.

1	У веб-браузері відкрийте інтерфейс вузла Гібридного захисту даних (IP-адреса/налаштування, наприклад, https://192.0.2.0/setup), введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть У вій ти.
2	Перейдіть до Огляд (сторінка за замовчуванням). Якщо увімкнено, параме тр «Заблокована зовнішня роздільна здатність DNS» встановлюється на «Так».
3	Перейдіть на сторінку Trust Store та прок сі.
4	Натисніть Перевірити підключення до проксі- сервера. Якщо ви бачите повідомлення про те, що зовнішнє вирішення DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку після перезавантаження вузла і повернення на сторінку Огляд, B locked External DNS Resolution має бути встановлено значення no.

Що робити далі

Повторіть перевірку підключення до проксі-сервера для кожного вузла у кластері гібридної безпеки даних.

Вилучити вузол

Скористайтеся цією процедурою, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використовуйте інтерфейс керування гіпервізором у вашому розгортанні, щоб знайти та вимкнути віртуальну машину HDS.

2

Видаліть вузол:

Увійдіть у Партнерський центр, а потім виберіть Служби.
На картці «Гібридна безпека даних» клацніть «Переглянути все», щоб відобразити сторінку Ресурси захисту гібридних даних.
Виберіть кластер, щоб відобразити панель «Огляд».
Натисніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, яка з'явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши... праворуч від вузла та вибравши пункт Скасувати реєстрацію вузла.

3

Використовуючи інтерфейс керування гіпервізором у вашому розгортанні, знайдіть і видаліть віртуальну машину HDS.

Якщо ви не видаляєте віртуальну машину, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Центр обробки даних в режимі очікування для аварійного відновлення

Під час розгортання ви налаштовуєте захищений центр обробки даних у режимі очікування. У разі аварії в центрі обробки даних ви можете вручну відмовитися від розгортання до центру обробки даних у режимі очікування.

Бази даних активних і резервних центрів обробки даних синхронізуються між собою, що мінімізує час, необхідний для виконання відмови.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому самому центрі обробки даних, що і активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче дії, щоб налаштувати файл ISO центру обробки даних у режимі очікування:

Перш ніж почати

Центр обробки даних у режимі очікування повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробництві є 3 віртуальні машини з вузлами HDS, у середовищі резервного копіювання має бути 3 віртуальні машини. (Див. Центр обробки даних у режимі очікування для відновлення після аварійного завершення роботи, щоб отримати огляд цієї моделі відмови.)
Переконайтеся, що синхронізація бази даних включена між базою даних активних і пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS. Файл ISO повинен бути копією оригінального файлу ISO первинного центру обробки даних, до якого слід внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри
3	На сторінці Додат кові налаштування додайте конфігурацію нижче, щоб розмістити вузол у пасивному режимі. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме будь-який трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла в центрі обробки даних у режимі очікування. Перевірте syslogs, щоб переконатися, що вузли знаходяться в пасивному режимі. Ви повинні мати можливість переглянути повідомлення «KMS налаштовано в пасивному режимі» в syslogs.

Що робити далі

Після налаштування пасивного режиму в фай лі ISO і його збереження ви можете створити ще одну копію файлу ISO без конфігурації PassiveMode і зберегти його в захи щеному місці. Ця копія файлу ISO без налаштованого пасивного режиму може допомогти у швидкому процесі відмови під час аварійного відновлення. Детальну процедуру відмови від відмови див. у розділі Відновлення після аварійного завершення роботи за допомогою центру обробки даних у режимі очікування.

Відновлення після аварійного завершення роботи за допомогою центру обробки даних у режимі

Найважливішою послугою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого вмісту, що зберігається в хмарі Webex. Для кожного користувача в організації, якому призначено гібридну безпеку даних, нові запити на створення ключів спрямовуються до кластеру. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримати, наприклад, членам простору розмов.

Оскільки кластер виконує критичну функцію надання цих ключів, необхідно, щоб кластер залишався запущеним і підтримувались належні резервні копії. Втрата бази даних Hybrid Data Security або конфігурації ISO, що використовується для схеми, призведе до НЕВІДНОВЛЮВАНОЇ ВТРАТИ вмісту клієнта. Для запобігання такої втрати обов'язковими є такі практики:

Якщо аварія призведе до того, що розгортання HDS у первинному центрі обробки даних стає недоступним, виконайте цю процедуру для ручного переходу до центру обробки даних у режимі очікування.

Перш ніж почати

Використовуйте останній файл ISO, який був налаштований проти вузлів кластера, який був раніше активним, для виконання процедури відмови, згаданої нижче.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри
3	На сторінці Додат кові параметри додайте конфігурацію нижче або видаліть конфігурацію `пасивного режиму, щоб зробити` вузол активним. Вузол може обробляти трафік після його налаштування. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла в центрі обробки даних у режимі очікування. Перевірте вихід syslog, щоб переконатися, що вузли центру обробки даних в режимі очікування не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в syslogs.

Що робити далі

Після відмови, якщо первинний центр обробки даних знову стає активним, знову переведіть центр обробки даних у пасивний режим, виконавши дії, описані в розділі Н алаштування центру обробки даних у режимі очікування для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після конфігурації HDS

Стандартна конфігурація HDS працює із встановленим ISO. Але деякі клієнти вважають за краще не залишати файли ISO безперервно монтованими. Ви можете демонтувати файл ISO після того, як усі HDS-вузли підберуть нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін у конфігурацію. Коли ви створюєте новий ISO або оновлюєте ISO за допомогою інструмента налаштування, ви повинні змонтувати оновлений ISO на всіх ваших вуз лах HDS. Після того, як усі ваші вузли підхопили зміни конфігурації, ви можете знову демонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або новішої версії.

Від'єднайте файл ISO конфігурації.

Для розгортання VMware:

Вимкніть один вузол HDS.
У клієнті VMware vSphere виберіть віртуальну машину HDS.
Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування.
Виберіть CD/DVD Drive 1 і від'є днайте змонтований файл ISO конфігурації.
Очистіть Підклю чення та Підключення під час увімкнення живлення, а потім збережіть зміни.
Увімкніть вузол HDS і переконайтеся, що тривоги не виникають принаймні 20 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Для розгортання NFVIS:

Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть одну віртуальну машину HDS.
Вимкніть VM і дочекайтеся, поки її стан зміниться на Shutdown.
Відкрийте Пристрої CD-ROM.
Виберіть прикріплений файл ISO конфігурації та натисніть Від'є днати.
Переконайтеся, що файл ISO більше не прикріплений до віртуальної машини.
Запустіть вузол HDS і переконайтеся, що тривоги не виникають принаймні 20 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Для розгортання Nutanix:

Перейдіть до Інфраструктура > Обчислення > VM і виберіть одну віртуальну машину HDS.
На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини.
Відкрийте вклад ку Диски віртуальної машини.
Виберіть запис ISO конфігурації, тип якого є CD-ROM.
Натисніть Видалити.
Переконайтеся, що ISO конфігурації більше не монтується.
На вкладці «Підсу мок віртуальної машини» виберіть «Опер ації живлення» > «Увімкнути».
Переконайтеся, що тривоги не виникають принаймні 15 хвилин.
Повторіть ці дії для решти вузлів HDS по одному.

Виправлення проблем із захистом гібридних даних

Перегляд сповіщень та усунення несправностей

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає тайм-ауту. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони відчувають такі симптоми:

Неможливо створити нові пробіли (неможливо створити нові ключі)
Повідомлення та заголовки пробілів не розшифровуються для:
- Нові користувачі додані в пробіл (не вдається отримати ключі)
- Існуючі користувачі в просторі, що використовують новий клієнт (не вдається отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати до тих пір, поки їхні клієнти мають кеш ключів шифрування

Важливо, щоб ви належним чином відстежували кластер гібридної безпеки даних та негайно надсилали будь-які сповіщення, щоб уникнути порушення роботи служби.

Сповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Оповіщення	Акція
Збій доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем з локальною мережею.
Збій підключення до локальної бази даних.	Переконайтеся, що сервер бази даних доступний, а правильні облікові дані облікового запису служби були використані в конфігурації вузла.
Збій доступу до хмарних сервісів.	Переконайтеся, що вузли можуть отримати доступ до серверів Webex, як зазначено у Вимо гах зовнішнього підключення.
Продовження реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасували. Триває поновлення реєстрації.
Реєстрація хмарних сервісів знизилася.	Реєстрація в хмарних сервісах припинена. Сервіс припиняється.
Сервіс ще не активований.	Активуйте HDS в партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера відповідає налаштованому домену активації служби. Найбільш ймовірною причиною є те, що сертифікат CN був нещодавно змінений і тепер відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося здійснити автентифікацію в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису сервісу.
Не вдалося відкрити файл локального сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін придатності сертифіката сервера та підтвердьте, що він був виданий довіреною особоюCertificate Authority.
Неможливо опублікувати метрики.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
Каталог /media/configdrive/hds не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Переконайтеся, що файл ISO існує, чи він налаштований на монтування під час перезавантаження та чи він успішно монтується.
Налаштування організації орендарів не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій-орендарів за допомогою HDS Setup Tool.
Налаштування організації орендарів не завершено для видалених організацій	Завершіть налаштування, скасувавши CMK організації-орендарів, які були видалені за допомогою HDS Setup Tool.

Виправлення проблем із захистом гібридних даних

Використовуйте наведені нижче загальні вказівки при усуненні проблем із захистом гібридних даних.

1	Увійдіть у Партнерський центр.
2	У меню ліворуч на екрані виберіть Служби.
3	У розділі Гібрид знайдіть Гібридний захист даних і натисніть кнопку Події.
4	Перегляньте сторінку історії подій на наявність будь-яких сповіщень та виправте будь-які елементи, які ви там знайдете. Дивіться зображення нижче для довідки.
5	Перегляньте вихід сервера syslog для активності з розгортання гібридної безпеки даних. Фільтруйте такі слова, як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco.

HDS API для розробників

API розробників HDS — це спосіб отримати дані аналітики та моніторингу, а також усунути неполадки розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видаливши їх у центрі партнерів або вимкнувши всі вузли), втратите файл ISO конфігурації або втратили доступ до бази даних сховища ключів, користувачі Webex App організацій-клієнтів більше не можуть використовувати пробіли у своєму списку Люди, створені за допомогою ключів з вашого KMS. Наразі ми не маємо вирішення цієї проблеми або виправлення, і ми закликаємо вас не закривати служби HDS, коли вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це з'єднання протягом певного періоду часу (ймовірно, одну годину).

Розгортання та налаштування HDS на NFVIS

Виконайте наведені нижче процедури, щоб розгорнути HDS на гіпервізорі NFVIS. Процес включає встановлення HDS OVA, налаштування VM, монтаж конфігурації ISO та перевірку розгортання.

Встановлення HDS Host OVA на NFVIS

Перш ніж почати

Виконайте передумови гібридної безпеки даних та завантажте найновішу HDS OVA. Перейменуйте файл за допомогою формату hds- .ova для відстеження; наприклад, hds-26-aug-2026.ova. <DD-MMM-YYYY>
Створіть ISO конфігурації HDS та зберігайте його надійно. ISO містить головний ключ шифрування.
Зберіть статичну IP-адресу вузла, маску підмережі, шлюз, DNS-сервер, NTP-сервер та ім'я мережі NFVIS.
Переконайтеся, що у вас є доступ адміністратора NFVIS та достатня ємність для виділення принаймні 4 впроцесорів, 8 ГБ пам'яті та 30 ГБ пам'яті на один вузол HDS.

1	Увійдіть в інтерфейс NFVIS і перейдіть до Кон фігурація> Віртуальна машина> Зображення> Сховище зображень.
2	Виберіть параметр LOC AL і завантажте перейменований файл HDS OVA (наприклад, hds-26-aug-2026.ova).
3	Встановіть Тип робочого навантаження віртуальної машини на Викли к, а Тип віртуальної машини - ECP/VIDEO MESH, а потім виберіть Завантажити файл.
4	Контролюйте хід завантаження до завершення.
5	Переконайтеся, що завантажена OVA позначена як активна і що NFVIS успішно створив пов'язаний користувацький профіль OVA.

Налаштування віртуальної машини з гібридною безпекою даних на NFVIS

1	Перейдіть до Конфігурація > Розгор нути та виберіть ECP/VIDEO MESH з меню Вибрати віртуальну машину.
2	Введіть унікальне ім'я віртуальної машини, виберіть попередньо завантажений образ HDS та виберіть відповідний користувацький профіль OVA у розділі Деталі розгортання.
3	Виберіть DEPLO Y і дочекайтеся успішного сповіщення про розгортання.
4	Перейдіть до Конфігурація > Віртуальна машина > Кер ування, щоб переконатися, що нова віртуальна машина HDS активна.
5	Поверніться до Кон фігурації > Розгор нути, виберіть віртуальну машину HDS та скористайтеся спадним списком Мережеві інтерфейси, щоб приєднати її до потрібної мережі WAN.
6	Виберіть DEPLO Y, щоб застосувати зміни конфігурації мережі.

Завантажте та монтуйте ISO конфігурації HDS

1	Перш ніж продовжувати, переконайтеся, що файл ISO конфігурації HDS завантажено до сховища зображень за допомогою пункту Конфігурація > Віртуальна машина > Зображення > Схови ще зображень.
2	Відкрийте термінал для віртуальної машини HDS за допомогою пункту Кон фігурація > Віртуальна машина > Керування та виконайте початковий вхід за допомогою облікових даних за замовчуванням. `Ім'я користувача: admin` `Пароль: цискосистеми`
3	Змініть облікові дані адміністратора, коли з'явиться запит.
4	Налаштуйте статичну IP-адресу вузла, маску підмережі, шлюз, DNS та налаштування NTP за допомогою параметра Реда гувати конфігурацію.
5	Вимкніть HDS VM, щоб полегшити процес монтажу.
6	Відкрийте меню дій віртуальної машини, виберіть CD-ROM і виберіть ISO конфігурації HDS, щоб приєднати його до віртуальної машини.
7	Увімкніть віртуальну машину та переконайтеся, що вона успішно запускається із встановленою конфігурацією ISO.

Що робити далі

Якщо потрібно, перейдіть до пункту Н алаштувати вузол для інтеграції проксі -сервера, а потім перейдіть до Реєстрації першого вузла в кластер і.

Розгортання та налаштування HDS на Nutanix

Дотримуйтесь наведених нижче процедур, щоб розгорнути HDS на гіпервізорі Nutanix. Процес включає встановлення HDS OVA, налаштування VM, монтаж конфігурації ISO та перевірку розгортання.

Встановіть HDS Host OVA на Nutanix

Скористайтеся цією процедурою для імпорту HDS OVA-файлу в Nutanix.

1	Завантажте найновішу HDS OVA.
2	У Prism Central перейдіть до Інфра структура > Обчислення > OVA.
3	Виберіть Завантажити OVA.
4	Виберіть джерело OVA та виберіть цільовий кластер.
5	Дайте завантаженому OVA унікальне та впізнаване ім'я. Включіть версію або дату завантаження, щоб адміністратори могли відрізнити її від старих версій OVA.
6	Завершіть завантаження.
7	У списку OVA перевірте, чи формат диска відображається як VMDK.

Створіть віртуальну машину з гібридної безпеки даних на Nutanix

Скористайтеся цією процедурою для створення віртуальної машини HDS.

1	У Prism Central перейдіть до Інфра структура > Обчислення > OVA.
2	Виберіть успішно завантажений HDS OVA.
3	Виберіть «Розгорнути як віртуальну машину».
4	Введіть унікальне, впізнаване ім'я віртуальної машини та виберіть цільовий кластер.
5	Переконайтеся, що OVA заповнила такі властивості віртуальної машини: 4 впроцесори 8 Гб пам'яті
6	Натисніть кнопку Далі. Відкри ється майстер ресурсів.
7	У таблиці Ре сурси > Диски переконайтеся, що прикріплений диск має розмір 30 ГБ.
8	Приєднайте правильну підмережу або VLAN за допомогою параметра При єднати до підмережі та встановити стан мережевого підключення на Підключений. Якщо майстер містить порожній або типовий запис мережі, що відображає мережу не знайдено для мережі віртуальної машини, видаліть цей запис. Недійсний запис може перешкодити майстру продовжувати роботу навіть після приєднання правильної підмережі.
9	Виберіть UEFI в якості режиму BIOS і натисніть кнопку Далі. Відкриється майстер керування.
10	Залиш те Категорі ї порожніми, якщо категорії не вимагаються організацією.
11	Виберіть відповідний часовий пояс.
12	Виберіть Без налаштувань на карт ці «Налаш тування гостей» та натисніть кнопку Далі.
13	Перегляньте налаштування та виберіть С творити віртуальну машину.

Завантажте та монтуйте ISO конфігурації HDS

1	У Prism Central перейдіть до Інфра структура > Обчислення > ВМ.
2	Виберіть розгорнуту віртуальну машину HDS. На вкладці «Підсу мок» виберіть «Опер ації живлення» > «Увімкнути». Зачекайте кілька хвилин, поки VM запуститься.
3	Натисніть кнопку Запустити консо ль. Виконайте початковий вхід за допомогою облікових даних за замовчуванням. `Ім'я користувача: admin` `Пароль: цискосистеми`
4	Змініть облікові дані адміністратора, коли з'явиться запит.
5	Налаштуйте статичну IP-адресу вузла, маску підмережі, шлюз, DNS та налаштування NTP за допомогою параметра Реда гувати конфігурацію.
6	Вимкніть віртуальну машину HDS перед приєднанням ISO. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Під сумок» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини.
7	Відкрийте вкладку Диски вірту альної машини.
8	Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити.
9	Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA
10	Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
11	На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «У вімкнення живлення» і переконайтеся, що тривоги відсутні протягом принаймні 15 хвилин.

Що робити далі

Якщо потрібно, перейдіть до пункту Н алаштувати вузол для інтеграції проксі -сервера, а потім перейдіть до Реєстрації першого вузла в кластер і.

Міграція вузлів HDS між підтримуваними гіпервізорами

Використовуйте цю процедуру для переміщення вузлів HDS з одного підтримуваного гіпервізора до іншого. Існуючі віртуальні машини HDS не мігруються безпосередньо між гіпервізорами. Замість цього розгортайте вузли заміни на цільовому гіпервізорі та зареєструйте їх у існуючому або новому кластері HDS.

Перш ніж почати

Створіть резервну копію бази даних HDS та поточної конфігурації ISO.
Переконайтеся, що цільовий гіпервізор і віртуальні хости відповідають вимогам розгортання HDS.
Переконайтеся, що існуючий кластер HDS справний і що інші вузли можуть продовжувати обробляти трафік під час заміни вузла.
Визначте, чи буде кожен замінений вузол повторно використовувати IP-адресу вихідного вузла та FQDN або використовувати нові налаштування мережі.
Використовуйте ISO поточної конфігурації та існуючу базу даних HDS для заміни вузлів.

Якщо переміщення також змінює активну конфігурацію центру обробки даних, сервера баз даних або HDS, див. розділ Зміна конфігурації вузла та центру обробки даних у режимі очікування для аварійного відновлення, перш ніж продовжувати.

1	Виберіть один вузол HDS на гіпервізорі джерела для заміни. Залиште всі інші вузли запущеними та зареєстрованими.
2	Підготуйте конфігурацію мережі для заміни вузла: Якщо ви повторно використовуєте IP-адресу вихідного вузла та FQDN, вимкніть вихідну віртуальну машину та зніміть його з реєстрації, перш ніж підключити заміну вузла до мережі. Якщо ви використовуєте нову IP-адресу або FQDN, залиште вихідний вузол запущеним та зареєстрованим під час розгортання та перевірки заміни вузла. Не запускайте вихідні та замінні вузли одночасно, якщо вони використовують однакову конфігурацію мережі.
3	Створіть та налаштуйте заміну ВМ на цільовому гіпервізорі. Використовуйте найновішу HDS OVA та дотримуйтесь відповідних процедур розгортання для цього гіпервізора.
4	Налаштуйте мережеві налаштування віртуальної машини для заміни відповідно до конфігурації, вибраної на кроці 2. Дотримуйтесь інструкцій з налаштування цільового гіпервізора.
5	Приєднайте поточну конфігурацію HDS ISO. Якщо у вашому розгортанні використовується проксі-сервер, налаштуйте проксі-сервер і сховище довіри, як описано в розділі Налаштування вузла HDS для інтеграції проксі-сервера.
6	Зареєструйте заміну вузла з існуючим кластером або новим кластером. Див. Створення та реєстрація додаткових вузлів.
7	Переконайтеся, що замінений вузол справний, підключений до хмари Webex та обробляє трафік HDS. Вирішіть будь-які тривоги, перш ніж продовжувати.
8	Якщо вихідний вузол все ще працює, оскільки заміна використовує нову конфігурацію мережі, вимкніть та скасуйте його з реєстрації. Див. Видалення вузла.
9	Повторіть ці дії для кожного вузла, що залишився на гіпервізорі джерела. Не замінюйте інший вузол, поки кластер не стане здоровим.
10	Після того, як всі вузли заміни стабільні і відкат більше не потрібен, видаліть оригінальні віртуальні машини з гіпервізора джерела. Якщо ви тимчасово збережете оригінальну віртуальну машину, залиште її вимкненою та демонтуйте її конфігурацію ISO.

Що робити далі

Після реєстрації замінених вузлів підтвердьте, що вони справні і що розгортання HDS обробляє трафік. Якщо розгортання справне, видаліть усі вихідні вузли, які все ще зареєстровані в оригінальному гіпервізорі. Якщо це можливо, виконайте наведені вище дії, щоб замінити вузли в налаштуваннях аварійного відновлення.

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент керування контейнерами з відкритим вихідним кодом, який забезпечує спосіб запуску, управління та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент HDS Setup працює як контейнер Docker на локальній машині. Щоб отримати доступ до нього, завантажте та запустіть Podman на цій машині. Для процесу налаштування потрібні облікові дані облі кового запису Центру керування з повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час виклику контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://SERVER_IP:PORT`
HTTPS-проксі без аутентифікації	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з аутентифікацією	`ГЛОБАЛЬНИЙ_АГЕНТ_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Файл ISO конфігурації, який ви створюєте, містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни в конфігурацію, наприклад:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з'єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати ваш гібридний хост безпеки даних.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що робити далі

Виконайте інші кроки в розділі Створення ISO конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Відключення хмарних агентів

Хмарні агенти (c-agent) — це надійні облікові записи служб Webex, які виконують операції з HDS через делегований доступ від імені користувача для покращення загального користувальницького досвіду. Вимкнення хмарних агентів блокує доступ служб Webex до локальних ключів HDS.

Вимкнення хмарних агентів призведе до втрати таких функцій, як записи після наради, стенограми, попередній перегляд файлів та автоматичне сканування проти шкідливих програм у Webex App Spaces.

Виконайте наведені нижче дії, щоб вимкнути хмарні агенти для розгортання HDS.

1	Запустіть інструмент налаштування HDS та виконайте дії, зазначені в розділі С творення ISO конфігурації для хостів HDS. Файл ISO повинен бути копією оригінального файлу ISO первинного центру обробки даних, до якого слід внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть на Додаткові параметри.
3	На сторінці Додат кові налаштування додайте конфігурацію нижче, щоб вимкнути хмарні агенти. Це гарантує, що хмарні агенти не зможуть обробляти трафік HDS. `cloudAgentUpdateEnabled: 'false'`
4	Завершіть процес налаштування та збережіть файл ISO у місці, яке легко знайти.
5	Зробіть резервну копію файлу ISO у вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні внести зміни в конфігурацію.
6	Змонтуйте файл ISO конфігурації: Перед монтажем нової конфігурації ISO: Вимкніть вузол HDS. Переконайтеся, що наразі не прикріплено жодного файлу ISO. Якщо вкладено файл ISO, від'єднайте його, перш ніж продовжувати. Для розгортання VMware: У клієнті VMware vSphere виберіть віртуальну машину HDS. Клацніть правою кнопкою миші віртуальну машину та виберіть Редагувати налаштування. Виберіть Привід CD/DVD 1. Виберіть файл ISO datastore, а потім виберіть новий файл ISO конфігурації. Переконайтеся, що вибрано пункт Під ключено та Підключити при увімк неному живленні. Збережіть зміни. Для розгортання NFVIS: Перейдіть до Н алаштування > Віртуальна машина > Зображення > Схови ще зображень та завантажте новий файл ISO конфігурації до сховища образів NFVIS. Перейдіть до Конфігурація > Віртуальна машина > Кер ування та виберіть віртуальну машину HDS. Відкрийте Пристрої компакт- дисків і перевірте, чи немає жодного файлу ISO на даний момент. Виберіть «Прикрі пити», а потім виберіть нещодавно завантажений файл ISO конфігурації. Завершіть операцію та переконайтеся, що новий файл ISO конфігурації прикріплений. Для розгортання Nutanix: У Prism Central перейдіть до Інфра структура > Обчислення > Зображення. Виберіть Додати зображення. У розділі Джерело зображення виберіть Файл зображення, а потім виберіть Додати файл. Виберіть нову конфігурацію ISO та переконайтеся, що Тип встановлено на ISO. Завершіть вибір місця для цільового кластера та завершіть завантаження. Перейдіть до Інфраструктура > Обчислення > Віртуальні машини та виберіть відповідну віртуальну машину HDS. На вкладці «Підсу мок вірту альної машини» виберіть «Операції живлення» > «Ви мкнути» і дочекайтеся повного зупинення віртуальної машини. Відкрийте вкладку Диски вірту альної машини. Якщо додано ISO старої конфігурації, виберіть лише його запис CD-ROM та натисніть кнопку Ви дал ити. На вкладці Диски, якщо поле Джере ло порожнє для будь-яких записів віртуального диска, встановіть відповідні галочки і натисніть кнопку Ви дал ити. Виберіть пункт Прикріпити диск і налаштуйте наступні значення: Тип: CD-ROM Операція: Клонування із зображення Розміщення диска: Той самий кластер Зображення: Нещодав но завантажена конфігурація ISO Тип шини: SATA Збережіть конфігурацію та підтвердьте, що новий ISO відображається як прикріплений компакт-диск віртуальної машини.
7	Увімкніть вузол HDS і переконайтеся, що тривоги відсутні принаймні 15 хвилин.
8	Повторіть процес для кожного вузла у вашому розгортанні HDS. Переконайтеся, що хмарні агенти вимкнені, перевіривши в syslogs такий запис: «Оновлення хмарного агента вимкнено».

Переміщення існуючого розгортання HDS для одного орендаря партнерської організації в Контрольному центрі до налаштування HDS для кількох орендарів у партнерському центрі

Перетворення з існуючого розгортання HDS одного орендаря партнерської організації, керованої в Control Hub, на розгортання HDS для кількох орендарів, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS у Центрі керування, зняття реєстрації вузлів та видалення кластера. Потім ви можете увійти в Partner Hub, зареєструвати вузли, активувати Multi-Tenant HDS та додавати клієнтів до свого кластеру.

Термін «один орендар» просто відноситься до існуючого розгортання HDS в Контрольному центрі.

Деактивувати HDS, скасувати реєстрацію вузлів і видалити всі кластери в Control Hub

1	Увійдіть у Контрольний центр. На лівій панелі натисніть Гі брид. На картці «Гібридна безпека даних» натисніть «Ре дагувати параметри».
2	На сторінці налаштувань прокрутіть вниз до розділу Деактивувати та натисніть Де активувати.
3	Після деактивації натисніть на вкладку Ре сурси.
4	На сторінці Ресурси наведено список кластерів у вашому розгортанні HDS. Натисніть на кластер, відкриється сторінка з усіма вузлами під цим кластером.
5	Клацніть праворуч і натисніть кнопку Скасувати реєстра цію вузол. Повторіть процес для всіх вузлів у кластері.
6	Якщо у вашому розгортанні є кілька кластерів, повторіть кроки 4 та 5, доки всі вузли не будуть зняті з реєстрації.
7	Натисніть Параметри кластера > Видал ити.
8	Натисніть кнопку Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, зняття реєстрації вузлів та видалення кластерів у нижній частині картки служби гібридних даних у Центрі керування відображатиметься «Н алаштування не завершено».

Активуйте багатоквартирний HDS для партнерської організації в Partner Hub та додайте клієнтів

Перш ніж почати

Усі передумови, зазначені у Вимогах щодо безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переміщення на Multi-Tenant HDS використовуються однакові бази даних та сертифікати.

1	Увійдіть у Партнерський центр. Натисніть Слу жби на лівій панелі. Використовуйте той самий ISO з попереднього розгортання HDS для налаштування вузлів. Це гарантує, що повідомлення та вміст, створений користувачами в попередньому існуючому розгортанні HDS, все ще будуть доступні в новому налаштуванні Multi-Tenant.
2	У розділі Гібрид знайдіть карту безпеки гібридних даних і натисніть кнопку Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі С творити картку кластер а введіть назву кластера, якому потрібно призначити вузол гібридного захисту даних. Рекомендуємо назвати кластер залежно від того, де вузли кластера розташовані географічно. Приклади: «Сан-Франциско» або «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повністю кваліфіковане доменне ім'я (FQDN) вашого вузла та натисніть Дод ати внизу екрана. Ця IP-адреса або FQDN має відповідати IP-адресі або імені хосту та домену, які ви використовували в Н алаштування віртуальної машини з гібридною безпекою даних. З'явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин ви перенаправляєтесь до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з'явиться сторінка Дозволити доступ до гібридного вузла безпеки даних. Там ви підтверджуєте, що хочете надати вашій організації Webex дозволи на доступ до вашого вузла.
7	Поставте пра порець Дозволити доступ до вузла безпеки гібридних даних, а потім натисніть кнопку Продов жити. Ваш обліковий запис підтверджено, а повідомлення «Реєстрація завершена» вказує, що ваш вузол тепер зареєстрований у хмарі Webex. На сторінці «Гібридна безпека даних» новий кластер, що містить зареєстрований вами вузол, відображається на вкладці «Ре сурси». Вузол автоматично завантажить новітнє програмне забезпечення з хмари.
8	Перейдіть на вклад ку Налаштування та натисніть Активувати на картці стану HDS. Активоване HDS- повідомлення з'явиться внизу екрана.
9	Натисніть на вкладку Призначені клієн ти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого хочете додати, зі спадного меню.
12	Натисніть Дод ати, клієнт буде доданий до кластеру.
13	Повторіть кроки від 11 до 13, щоб додати кількох клієнтів до вашого кластеру.
14	Натис ніть Готово внизу екрана після додавання клієнтів.

Що робити далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використовуйте OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL - це один із інструментів, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в Інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо і не просуваємо один спосіб над іншим.
Якщо ви все-таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як орієнтир, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у вимогах до сертифікатів X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL в підтримуваному середовищі. Програмне забезпечення та документацію див. https://www.openssl.org.
Створіть приватний ключ.
Запустіть цю процедуру, коли ви отримаєте сертифікат сервера від вашого Certificate Authority (CA).

1	Коли ви отримаєте сертифікат сервера від вашої CA, збережіть його як `hdsno` de.pem.
2	Покажіть сертифікат у вигляді тексту та перевірте деталі. `openssl x509 -текст -ноут -в hdsnode.pem`
3	Скористайтеся текстовим редактором для створення файлу пакета сертифікатів під назвою `hdsno` de-bundle.pem. Файл пакета повинен містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Створіть файл.p12 з дружньою назвою kms-private-key.` `openssl pkcs12 -експорт -inkey hdsnode.key -у hdsnode-bundle.pem -ім'я kms-приватний ключ -може вийти kms-приватний ключ hdsnode.p12`
5	Перевірте дані сертифіката сервера. `openssl pkcs12 -в hdsnode.p12` Введіть пароль під запитом, щоб зашифрувати приватний ключ так, щоб він був вказаний у виході. Потім переконайтеся, що приватний ключ і перший сертифікат містять рядки `friendlyName:` kms-private-key. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Що робити далі

Повернутися до заповнення передумов для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви встановили для нього, у розділі Створити ISO конфігурації для хостів HDS.

Ви можете повторно використовувати ці файли, щоб запросити новий сертифікат після закінчення терміну дії оригінального сертифіката.

Трафік між вузлами HDS та хмарою

Трафік збору вихідних метрик

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. Вони включають системні показники для макс купи, використаної купи, завантаження процесора та кількості потоків; метрики синхронних та асинхронних потоків; метрики щодо сповіщень, що включають поріг з'єднань шифрування, затримку або довжину черги запитів; метрики на сховищі даних; та метрики підключення шифрування. Вузли надсилають зашифрований ключовий матеріал через поза діапазоном (окремо від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузлів

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі Squid

Проксі-сервери Squid, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з'єднань з веб-сокетом (wss:), необхідних для гібридної безпеки даних. У цих розділах наведено вказівки щодо налаштування різних версій Squid для ігно рування трафіку wss: для правильної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних з наступними правилами, доданими до squid .conf. Ці правила можуть бути змінені, коли ми розробляємо функції та оновлюємо хмару Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Деактивуйте гібридну безпеку даних для кількох орендарів

Потік завдань деактивації HDS для кількох орендарів

Виконайте наведені нижче дії, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання повинен виконувати тільки повний адміністратор Партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в розділі Видалити організації-орендарів.
2	Відкликати КМК усіх клієнтів, як зазначено в розділі Від кликати КМК орендарів, видалених з HDS. .
3	Видаліть усі вузли з усіх ваших кластерів, як згадувалося в розділі Видалити вузол.
4	Видаліть усі свої кластери з центру партнерів одним із двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Ви далити цей кластер у верхньому правому куті сторінки огляду. На сторінці Ресурси натисніть у правій частині кластера та виберіть Ви далити кластер.
5	Натисніть вкладку Налаш тування на сторінці огляду гібридної безпеки даних та натисніть Де активувати HDS на картці стану HDS.

Часті питання

Q. Чи зберігаються CMK та головний ключ у ISO чи базі даних?

A. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO.

Питання: Чи використовується один ключ для шифрування всіх даних організацій-клієнтів?

А. Ні. Дані кожної організації-замовника шифруються за допомогою власного CMK (основного ключа клієнта).

Питання: Що станеться, якщо я вимкну HDS з Partner Hub?

Відповідь: Деякі операції, як-от створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий вміст у просторах буде доступний до закінчення терміну дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами один на один.

Питання: Після того, як CMK буде створено для організації клієнта за допомогою інструменту налаштування HDS, чи починають користувачі клієнтської організації негайно використовувати HDS для кількох орендарів?

Відповід ь: Для оновлення хмарного кешу може бути максимальна затримка 24 години.

Питання: Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» в Partner Hub?

А. Зазвичай це означає, що немає організацій-замовників, які відповідають вимо Cisco Webex гам ліцензії.

Питання: Який вплив буде, якщо всі вузли HDS вимкнені або якщо проблема з мережею впливає на всі вузли HDS?

A. Такі операції, як створення приміщень та планування зустрічей, впливають негайно. Існуючий вміст доступний лише до закінчення терміну дії локального кешу.

Питання: Чи зашифровані дані користувачів партнерської організації за допомогою головного ключа, створеного під час створення ISO?

А. Так. В даний час дані користувачів організації-партнера шифруються за допомогою головного ключа. У майбутньому організації-партнери матимуть ключові для партнерів, подібні до CMC клієнтів.

Питання: Чи можуть партнерські організації та орендарські організації перебувати в різних регіонів (скажімо, США та ЄС)?

А. Так. Організації-партнери та орендарі можуть розташовуватися в різних географічних регіонів.

Питання: Чи існує якийсь механізм переміщення клавіш назад до Cloud KMS?

Відповідь: Немає механізму переміщення ключів назад у Хмару після розгортання HDS.

Питання: Чи може партнер продовжувати використовувати хмарний KMS та використовувати HDS для кількох орендарів виключно для управління клієнтами?

Відповідь: Ні, це наразі не підтримується. Підтримка цього функціоналу планується на майбутнє.

Питання: Як партнер може перевірити, що їхня організація використовує HDS для шифрування з кількома орендарами?

A. Увійдіть у Партнерський центр. Перейдіть до Служби > Гібридна безпека даних > Н алаштування. Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують HDS для кількох орендарів.

Крім того, ви можете перевірити свої syslogs, щоб переконатися, що HDS активовано. Див. Тестування розгортання гібридної безпеки даних.

Питання: Чи є альтернатива Docker Desktop для запуску інструменту налаштування HDS?

А. Так. Pod man Desktop є альтернативою Docker Desktop з відкритим кодом. Див. Запуск інструмента налаштування HDS за допомогою Podman Desktop.

Питання: Скільки вузлів можна розгорнути в кластері HDS для кількох орендарів?

Відповід ь: Ми рекомендуємо мінімум два вузли і максимум 1000.

З. Які вимоги до мережі необхідні для налаштування HDS для кількох орендарів?

A. Див. Вимо ги до зовнішнього підключення.

Питання: Чи є Pro Pack for Control Hub вимогою для організацій-партнерів?

А. Ні. Pro Pack не є вимогою для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера облікового запису, щоб отримати допомогу в налаштуванні HDS для кількох орендарів.

Питання: Чи підтримується HSM у HDS для кількох орендарів?

Відповідь: Ні, наразі HDS для кількох орендарів не підтримує HSM.

Питання: Чи можу я протестувати HDS для кількох орендарів за допомогою власного підписаного сертифіката?

А. Ні. Для HDS для кількох орендарів потрібен сертифікат, отриманий з надійної CA, який відповідає всім вимогам, зазначеним у Вимогах до сертифікатів X.509.

Питання: Чи потрібно монтувати ISO кожного разу, коли в Partner Hub додається новий клієнт?

А. Ні. ISO потрібно монтувати лише при зміні конфігурацій ISO. Додаючи нового клієнта в Partner Hub, переконайтеся, що ви можете створювати CMK за допомогою інструменту налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

Питання: Після розгортання HDS для кількох орендарів у Partner Hub користувачі партнерської організації починають використовувати локальні KMS для керування ключами?

A. Користувачі почнуть використовувати локальний KMS для керування ключами лише після активації HDS в Partner Hub.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
13 грудня 2024 року	Перший випуск.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

***Області розділення (без гібридної безпеки даних)***

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Перед аварійним переходом центр обробки даних A має активні вузли HDS і основну базу даних PostgreSQL або Microsoft SQL Server, тоді як B має копію файлу ISO з додатковими конфігураціями, зареєстрованими в організації VM, і базу даних у режимі очікування. Після аварійного перемикання центр обробки даних B має активні вузли HDS і основну базу даних, тоді як A має незареєстровані VM і копію файлу ISO, а база даних перебуває в режимі очікування. — ***Ручне аварійне перемикання на центр обробки даних у режимі очікування***

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 6.5 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017 або 2019 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 6.5. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть у Партнерський центр і клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 6.5. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як усі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017 або 2019 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть у Партнерський центр і клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017 або 2019 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть у Партнерський центр і клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017 або 2019 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть у Партнерський центр і клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох клієнтів.
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Обмеження гібридної безпеки даних із кількома клієнтами

Партнерські організації не повинні мати жодного наявного розгортання HDS, активного в Control Hub.
Організації клієнта або клієнта, якими хоче керувати партнер, не повинні мати наявне розгортання HDS у Control Hub.
Після розгортання партнером HDS із підтримкою кількох клієнтів усі користувачі організацій клієнта, а також користувачі партнерської організації починають використовувати HDS із підтримкою кількох клієнтів для своїх служб шифрування.

Партнерська організація та організації клієнтів, якими вони керують, здійснюватимуть те саме розгортання HDS із підтримкою кількох клієнтів.

Партнерська організація більше не використовуватиме хмарну KMS після розгортання HDS із підтримкою кількох клієнтів.
Відсутній механізм для повернення ключів назад до Cloud KMS після розгортання HDS.
Зараз кожне розгортання багатоклієнтського HDS може мати лише один кластер із кількома вузлами під ним.
Ролі адміністратора мають певні обмеження. Додаткову інформацію див. в розділі нижче.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних із підтримкою кількох клієнтів див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017 або 2019 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть до концентратора партнера й клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
30 січня 2025 року	Додано версію SQL сервера 2022 до списку підтримуваних серверів SQL у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох клієнтів.
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Обмеження гібридної безпеки даних із кількома клієнтами

Партнерські організації не повинні мати жодного наявного розгортання HDS, активного в Control Hub.
Організації клієнта або клієнта, якими хоче керувати партнер, не повинні мати наявне розгортання HDS у Control Hub.
Після розгортання партнером HDS із підтримкою кількох клієнтів усі користувачі організацій клієнта, а також користувачі партнерської організації починають використовувати HDS із підтримкою кількох клієнтів для своїх служб шифрування.

Партнерська організація та організації клієнтів, якими вони керують, здійснюватимуть те саме розгортання HDS із підтримкою кількох клієнтів.

Партнерська організація більше не використовуватиме хмарну KMS після розгортання HDS із підтримкою кількох клієнтів.
Відсутній механізм для повернення ключів назад до Cloud KMS після розгортання HDS.
Зараз кожне розгортання багатоклієнтського HDS може мати лише один кластер із кількома вузлами під ним.
Ролі адміністратора мають певні обмеження. Додаткову інформацію див. в розділі нижче.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних із підтримкою кількох клієнтів див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть до концентратора партнера й клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
30 січня 2025 року	Додано версію SQL сервера 2022 до списку підтримуваних серверів SQL у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох клієнтів.
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Обмеження гібридної безпеки даних із кількома клієнтами

Партнерські організації не повинні мати жодного наявного розгортання HDS, активного в Control Hub.
Організації клієнта або клієнта, якими хоче керувати партнер, не повинні мати наявне розгортання HDS у Control Hub.
Після розгортання партнером HDS із підтримкою кількох клієнтів усі користувачі організацій клієнта, а також користувачі партнерської організації починають використовувати HDS із підтримкою кількох клієнтів для своїх служб шифрування.

Партнерська організація та організації клієнтів, якими вони керують, здійснюватимуть те саме розгортання HDS із підтримкою кількох клієнтів.

Партнерська організація більше не використовуватиме хмарну KMS після розгортання HDS із підтримкою кількох клієнтів.
Відсутній механізм для повернення ключів назад до Cloud KMS після розгортання HDS.
Зараз кожне розгортання багатоклієнтського HDS може мати лише один кластер із кількома вузлами під ним.
Ролі адміністратора мають певні обмеження. Додаткову інформацію див. в розділі нижче.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних із підтримкою кількох клієнтів див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` , щоб позначити сертифікат, закритий ключ і будь-які проміжні сертифікати для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. При виникненні даної проблеми проблему вирішить обхід (не огляд) трафіку на wbx2.com і ciscospark.com .

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та повними правами адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть до концентратора партнера й клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTPS проксі без автентифікації

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ

HTTP-проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ

HTTPS проксі з автентифікацією

ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/ hds- setup- fedramp: stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login - u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds- setup- fedramp: stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:

docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, необхідно ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід до хоста Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, обов’язково введіть URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxРозмір: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `адміністратор` Пароль: `Cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть Диск CD/DVD 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу `для настроювання вузла HDS https://[IP-адреса вузла HDS або FQDN]/setup` у веб-браузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть кнопку Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які використовувалися в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі , як це необхідно для нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач спочатку встановив безпечний канал для KMS, виконайте фільтрування на kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

21 липня 2020 р. 17:35:34.562 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: // hds2. org5. portun. us/ statickeys/ 3[~]0 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2. org5. portun. us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data. uri=kms://hds2. org5. portun. us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування у розділі kms.data.method=retrieve і kms.data.type=KEY:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:19.889 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-31] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms. data. method=retrieve, kms. merc.id=c[~]7, kms. merc.sync=false, kms. data. uriHost=ciscospark. com, kms. data. type=KEY, kms. data. requestId=9[~]3, kms. data. uri=kms://ciscospark. com/keys/ d[~]2, kms. data. userId=1[~]b

Щоб перевірити, чи користувач запитує створення нового ключа KMS, виконайте фільтрування у розділі kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:21.975 (+0000) ІНФОРМАЦІЯ KMS [pool-14-thread-33] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data. uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO) під час створення простору або іншого захищеного ресурсу, виконайте фільтрування у розділі kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

21 липня 2020 р. 17:44:22.808 (+0000) ІНФОРМАЦІЯ KMS [pool-15-thread-1] - [KMS:REQUEST] отримано, ідентифікатор пристрою: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: // hds2. org5. portun. us/ ecdhe/ 5[~]1 (EncryptionKmsMessageHandler. java: 312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTPS проксі без автентифікації	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://СЕРВЕР_IP:ПОРТ`
HTTP-проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTP_PROXY=http://ІМ’Я КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`
HTTPS проксі з автентифікацією	`ГЛОБАЛЬНИЙ_ОПЕРАТОР_HTTPS_PROXY=http://ІМ’Я_КОРИСТУВАЧА:ПАРОЛЬ@СЕРВЕР_IP:ПОРТ`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/ hds- setup- fedramp: stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login - u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds- setup- fedramp: stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 -- rm -it ciscocitg/hds- setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run - p 8080: 8080 -- rm - it ciscocitg/ hds- setup- fedramp: stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds- setup- fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://СЕРВЕР_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер запущений, ви бачите "Експрес-прослуховування сервера на порту 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть CD `/DVD-дисковод 1`, виберіть параметр для монтування з файлу ISO та перейдіть до розташування, куди ви завантажили файл ISO нової конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Отримавши сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `----BEGIN CERTIFICATE------- ### Сертифікат сервера. ### -----END CERTIFICATE------------BEGIN CERTIFICATE----- ### Проміжний сертифікат CA. ### -----END CERTIFICATE---------BEGIN CERTIFICATE----- ### Кореневий сертифікат CA. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 з дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 - in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `дружніName: kms- private- key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Введіть пароль імпорту: Перевірені MAC атрибути пакету OK дружніІм’я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключові атрибути: Введіть фразу передавання PEM: Перевірка – введіть фразу передавання PEM: -----BEGIN ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ----- -----END ЗАШИФРОВАНИЙ ПРИВАТНИЙ КЛЮЧ------ Атрибути сумки дружніІм'я: kms- private- key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------- Bag Attributes friendlyName: CN=Дозволити Encrypt Authority X3,O=Дозволити Encrypt,C=US subject=/C=US/O=Дозволити Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-------

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Файл hdsnode.p12 і налаштований для нього пароль буде використано в Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронізованих і асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної експлуатації послуг.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol тунель усі

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних за допомогою наступних правил, доданих до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::Mercury-server_name_regex connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 всі ssl_bump stare step2 всі ssl_bump bump step3 всі

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
16 квітня 2026 року	Оновлено вимоги до сервера бази даних для додавання підтримки PostgreSQL версій 17 та 18.
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, яка надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Організації-партнери: Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів і переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 або 18, встановлений та запущений.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та розшифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли кластера були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережі та виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку «Керування CMK орендарів», де ви знайдете три способи керування CMK орендарів. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів і натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли створити неможливо (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова й змінена інформація

У цій таблиці наведено нові функції або функції, зміни наявного контенту та будь-які основні помилки, які було виправлено в Посібнику з розгортання гібридної безпеки даних для кількох клієнтів.

Дата	Внесені зміни
04 березня 2025 року	"Додано параметр ""Запустити інструмент налаштування HDS"" за допомогою розділу ""Робочий стіл Podman ""." Додано примітку в вимоги до робочого стола Docker , що надає клієнтам альтернативний варіант із відкритим кодом. Оновлено розділ Створити ISO конфігурації для хостів HDS і змінити конфігурацію вузла з інструкціями щодо використання робочого стола Podman для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано версію SQL сервера 2022 до списку підтримуваних серверів SQL у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох клієнтів.
08 січня 2025 року	У розділі Виконати початкове налаштування та завантажити файли встановлення додано примітку, у якій зазначено, що натискання Налаштування на картці HDS у Партнерському центрі є важливим кроком процесу встановлення.
07 січня 2025 року	Оновлено вимоги до віртуального хоста, Процес розгортання гібридної безпеки даних та Установіть HDS Host OVA , щоб показати нову вимогу ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивувати безпеку гібридних даних із кількома клієнтами

Потік завдань деактивації HDS для кількох клієнтів

Виконайте наведені дії, щоб повністю деактивувати HDS для кількох клієнтів.

Перед початком

Це завдання має виконувати лише адміністратор партнера з повними правами.

1	Видаліть усіх клієнтів з усіх кластерів, як зазначено в Видалити організації клієнтів.
2	Анулюйте CMK усіх клієнтів, як зазначено в Анулюйте CMK клієнтів, видалених із HDS..
3	Видаліть усі вузли з усіх кластерів, як зазначено в Видалити вузол.
4	Видаліть усі кластери з Партнерського центру за допомогою одного з двох наведених нижче способів. Клацніть кластер, який потрібно видалити, і виберіть Видалити цей кластер у правому верхньому куті сторінки огляду. На сторінці Ресурси клацніть … праворуч від кластера та виберіть Видалити кластер.
5	Клацніть вкладку Налаштування на сторінці огляду гібридної безпеки даних і натисніть Деактивувати HDS на картці стану HDS.

Початок роботи з гібридною безпекою даних для кількох клієнтів

Огляд гібридної безпеки даних для кількох клієнтів

З першого дня безпека даних була основним завданням у розробці програми Webex. Наріжним каменем цієї безпеки є наскрізне шифрування контенту, яке ввімкнено клієнтами програми Webex, які взаємодіють зі службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти програми Webex отримують наскрізне шифрування за допомогою динамічних ключів, що зберігаються в хмарному KMS у області безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатоклієнтська гібридна безпека даних дозволяє організаціям використовувати HDS через довіреного локального партнера, який може виступати як постачальник послуг і керувати локальним шифруванням та іншими службами безпеки. Це налаштування дозволяє партнерській організації мати повний контроль за розгортанням ключів шифрування та керування ними, а також гарантує безпеку даних користувачів організацій клієнта від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS і створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнта, на відміну від звичайного розгортання HDS, яке обмежується однією організацією.

Хоча партнерські організації мають контроль за розгортанням і керуванням, вони не мають доступу до даних і контенту, що створюються клієнтами. Цей доступ обмежено організаціями клієнта та їхніми користувачами.

Це також дозволяє невеликим організаціям використовувати HDS, оскільки Ключові служби керування та інфраструктура безпеки, як-от центри обробки даних, належать довіреним місцевим партнером.

Як багатоклієнтська гібридна безпека даних забезпечує суверенітет і контроль даних

Створений користувачами контент захищено від зовнішнього доступу, як-от постачальники хмарних послуг.
Надійні місцеві партнери управляють ключами шифрування клієнтів, з якими вони вже мають налагоджені відносини.
Варіант місцевої технічної підтримки, якщо надано партнером.
Підтримує контент нарад, обміну повідомленнями й викликів.

Цей документ спрямований на допомогу партнерським організаціям у налаштуванні та керуванні клієнтами в системі гібридної безпеки даних із підтримкою кількох клієнтів.

Обмеження гібридної безпеки даних із кількома клієнтами

Партнерські організації не повинні мати жодного наявного розгортання HDS, активного в Control Hub.
Організації клієнта або клієнта, якими хоче керувати партнер, не повинні мати наявне розгортання HDS у Control Hub.
Після розгортання партнером HDS із підтримкою кількох клієнтів усі користувачі організацій клієнта, а також користувачі партнерської організації починають використовувати HDS із підтримкою кількох клієнтів для своїх служб шифрування.

Партнерська організація та організації клієнтів, якими вони керують, здійснюватимуть те саме розгортання HDS із підтримкою кількох клієнтів.

Партнерська організація більше не використовуватиме хмарну KMS після розгортання HDS із підтримкою кількох клієнтів.
Відсутній механізм для повернення ключів назад до Cloud KMS після розгортання HDS.
Зараз кожне розгортання багатоклієнтського HDS може мати лише один кластер із кількома вузлами під ним.
Ролі адміністратора мають певні обмеження. Додаткову інформацію див. в розділі нижче.

Ролі в гібридній безпеці даних із кількома клієнтами

Повний адміністратор партнера – може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – може керувати налаштуваннями клієнтів, підготовленими адміністратором або призначеними користувачу.
Повний адміністратор – адміністратор партнерської організації, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Наскрізне налаштування HDS із підтримкою кількох клієнтів і керування всіма організаціями клієнта – потрібні права повного адміністратора партнера та повного адміністратора.
Керування призначеними організаціями клієнта : потрібні права адміністратора партнера та повного адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи служб на окремі області або домени довіри, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розгляньмо цей випадок у чистому хмарі, де Cisco надає всі функції у своїх хмарних областях. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов’язані з їхньою персональною інформацією, як-от адреса електронної пошти, логічно та фізично відокремлена від області безпеки в центрі обробки даних B. Обидва, у свою чергу, відокремлені від області, де зрештою зберігається зашифрований контент, в центрі обробки даних C.

На цій діаграмі клієнтом є програма Webex, що працює на ноутбуці користувача й автентифікувався за допомогою служби ідентифікації. Коли користувач складає повідомлення для надсилання до простору, виконуються такі кроки:

Клієнт встановлює захищене з’єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Для захищеного з’єднання використовується ECDH, а KMS шифрує ключ за допомогою основного ключа AES-256.
Повідомлення зашифровано перед тим, як воно залишає клієнта. Клієнт надсилає його в службу індексації, яка створює зашифровані пошукові індекси для допомоги в подальшому пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексація та відповідність) до локального центру обробки даних. Інші хмарні служби, які складають Webex (зокрема, ідентифікаційні дані та сховище контенту), залишаються в області Cisco.

Співпраця з іншими організаціями

Користувачі вашої організації можуть регулярно використовувати програму Webex для співпраці з зовнішніми учасниками в інших організаціях. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваш KMS надсилає ключ клієнту через канал, захищений ECDH. Однак, якщо ключ для простору належить іншій організації, ваш KMS надсилає запит в хмару Webex через окремий канал ECDH, щоб отримати ключ із відповідного KMS, а потім повертає ключ користувачеві в вихідному каналі.

Служба KMS, яку запущено в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Додаткову інформацію про створення сертифіката x.509 для використання з розгортанням гібридної безпеки даних із підтримкою кількох клієнтів див. в розділі Підготовка середовища .

Очікування розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значної прихильності та обізнаності про ризики, які виникають при наявності ключів шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, яка є підтримуваним розташуванням для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в розділі Підготовка середовища.

Повна втрата ISO конфігурації, яку ви створюєте для гібридної безпеки даних, або бази даних, яку ви надаєте, призведе до втрати ключів. Втрата ключа забороняє користувачам розшифрувати контент простору та інші зашифровані дані в програмі Webex. Якщо це станеться, ви зможете створити нове розгортання, але буде відображено лише новий контент. Щоб уникнути втрати доступу до даних, необхідно:

Керування резервним копіюванням і відновленням бази даних та ISO конфігурації.
Будьте готові до швидкого відновлення після відмови в разі виникнення катастрофи, як-от помилка диска бази даних або помилка центру обробки даних.

Відсутній механізм для переміщення ключів назад у хмару після розгортання HDS.

Процес налаштування на високому рівні

Цей документ охоплює налаштування та керування розгортанням гібридної безпеки даних із кількома клієнтами:

Налаштування гібридної безпеки даних. Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-клієнтів до кластера та керування їхніми основними ключами клієнта (CMK). Це дозволить усім користувачам в організації клієнта використовувати кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та керування докладно описані в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних. Хмара Webex автоматично забезпечує постійні оновлення версії. Ваш ІТ-відділ може надати підтримку першого рівня для цього розгортання та за потреби залучити підтримку Cisco. Ви можете використовувати сповіщення на екрані та налаштувати сповіщення на основі електронної пошти в Партнерському центрі.
Ознайомтеся з поширеними сповіщеннями, кроками усунення несправностей і відомими проблемами. Якщо у вас виникли проблеми з розгортанням або використанням гібридної безпеки даних, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити й вирішити цю проблему.

Модель розгортання гібридної безпеки даних

У вашому центрі обробки даних підприємства ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли зв’язуються з хмарою Webex за допомогою захищених вебсокетів і захищеного HTTP.

Під час процесу встановлення ми надаємо вам файл OVA для налаштування віртуального пристрою на наданих вами VM. Ви використовуєте інструмент налаштування HDS для створення користувацького файлу конфігурації ISO кластера, який буде змонтовано на кожному вузлі. Кластер гібридної безпеки даних використовує наданий сервер Syslogd і базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте системний журнал і відомості про підключення до бази даних в інструменті налаштування HDS.)

Модель розгортання гібридної безпеки даних

Мінімальна кількість вузлів, які можна мати в кластері, дорівнює два. Рекомендовано принаймні три для кластера. Наявність кількох вузлів гарантує, що служба не переривається під час оновлення версії програмного забезпечення або іншої діяльності з обслуговування на вузлі. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері отримують доступ до одного єдиного сервера системних даних і активності журналу. Самі вузли не мають статусу, і обробляють ключові запити круглим способом, як спрямовано хмарою.

Вузли стають активними, коли їх зареєстровано в Партнерському центрі. Щоб вилучити окремий вузол із експлуатації, його можна скасувати реєстрацію, а в разі потреби повторно зареєструвати.

Центр даних у режимі очікування для відновлення після відмови

Під час розгортання ви налаштували безпечний центр обробки даних у режимі очікування. У разі несправності центру обробки даних ви можете вручну не виконувати перехід до центру обробки даних у режимі очікування.

Бази даних активних та резервних центрів обробки даних синхронізуються один з одним, що дозволить мінімізувати час, необхідний для виконання аварійного перемикання.

Активні вузли гібридної безпеки даних завжди мають бути в тому самому центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Немає проксі— За замовчуванням, якщо для інтеграції проксі не використовується налаштування вузла HDS Store і Proxy. Оновлення сертифіката не потрібне.
Прозорий неінспекційний проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін до роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне.
Прозоре тунелювання чи інспектування проксі— вузли не налаштовані на використання конкретної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі. За допомогою явного проксі-сервера вузлам HDS слід визначити, який проксі-сервер і схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером.
2. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку.
3. Проксі-протокол — залежно від того, що підтримує ваш проксі-сервер, виберіть один із таких протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— виберіть із перелічених нижче типів автентифікації.
  - Немає— подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до гібридної безпеки даних із кількома клієнтами

Вимоги до ліцензії Cisco Webex

Щоб розгорнути безпеку гібридних даних із кількома клієнтами, виконайте наведені нижче дії.

Партнерські організації: Зверніться до партнера Cisco або менеджера облікового запису й переконайтеся, що функцію кількох клієнтів увімкнено.
Організації осередків: Необхідно мати професійний пакет для Cisco Webex Control Hub. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого стола Docker

Перш ніж установити вузли HDS, необхідно Docker Desktop, щоб запустити програму встановлення. Docker нещодавно оновив свою ліцензійну модель. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, наприклад Podman Desktop, для запуску, керування та створення контейнерів. Докладніше див. в розділі Запуск інструменту налаштування HDS за допомогою робочого стола Podman .

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для розгортання гібридної безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо ценам у списку Mozilla (за винятком WoSign і StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім’я (CN), яке ідентифікує розгортання гібридної безпеки даних. Не є сертифікатом узагальнення	CN не обов’язково бути доступним або організатором у режимі реального часу. Ми рекомендуємо використовувати ім’я, що відображає вашу організацію, наприклад `hds.company.com`. CN не має містити символ * (узагальнення). CN використовується для перевірки вузлів гібридної безпеки даних клієнтам програми Webex. Усі вузли гібридної безпеки даних у вашому кластері використовують той самий сертифікат. Ваш KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис без SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключення до KMS інших організацій.
Відформатований як файл PKCS #12 із захищеним паролем Використовуйте дружнє ім’я `kms-private-key` для маркування сертифіката, закритого ключа та будь-яких проміжних сертифікатів для передавання.	Щоб змінити формат сертифіката, можна використовувати перетворювач, наприклад OpenSSL. Вам потрібно буде ввести пароль, коли ви запустите інструмент налаштування HDS.

Програмне забезпечення KMS не вимагає використання ключів або розширених обмежень використання ключів. Деякі органи сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження використання ключа, як-от автентифікація сервера. Цілком нормально використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального організатора

Віртуальні вузли, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремих хоста (рекомендовано 3) розташовані в одному захищеному центрі обробки даних
VMware ESXi 7.0 (або пізнішої версії) встановлено та запущено.

Необхідно оновити версію, якщо у вас попередня версія ESXi.
Мінімум 4 вЦП, 8 ГБ основної пам’яті, 30 ГБ локального жорсткого диска на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Програми HDS після встановлення створюють схему бази даних.

Для сервера бази даних існує два параметри. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
Postgre SQL	Сервер Microsoft SQL
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (корпоративний або стандартний). SQL Server 2016 вимагає пакета оновлень 2 та кумулятивного оновлення 2 або пізнішої версії.
Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)	Мінімум 8 вЦП, 16 ГБ основної пам’яті, достатній обсяг жорсткого диска і моніторинг, щоб його не перевищено (рекомендовано 2 ТБ, якщо ви хочете довго запускати базу даних без необхідності збільшувати обсяг сховища)

Програмне забезпечення HDS зараз установлює такі версії драйверів для зв’язку з сервером бази даних:

Postgre SQL

Сервер Microsoft SQL

Postgres драйвер JDBC 42.2.5

Драйвер JDBC SQL Server 4.6

Ця версія драйвера підтримує SQL Server Always On (Завжди ввімкнені екземпляри аварійного перемикання кластерів і Always On групи доступності).

Додаткові вимоги до автентифікації Windows проти Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для доступу до вашої бази даних ключів на Microsoft SQL Server, то у вашому середовищі потрібна така конфігурація:

Вузли HDS, інфраструктуру Active Directory і MS SQL Server мають бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати доступ до бази даних для читання та запису.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати змогу вирішити ваш центр розподілу ключів (KDC).
Можна зареєструвати екземпляр бази даних HDS на сервері Microsoft SQL як основне ім’я служби (SPN) в Active Directory. Див. розділ Реєстрація імені головної служби для з’єднань Kerberos.

Засіб налаштування HDS, засіб запуску HDS та локальний KMS — усі необхідні для використання автентифікації Windows для доступу до бази даних сховища ключів. Вони використовують відомості з конфігурації ISO для побудови SPN під час запиту доступу за допомогою автентифікації Kerberos.

Вимоги до зовнішнього з’єднання

Налаштуйте брандмауер, щоб дозволити таке підключення для програм HDS:

Застосування	Протокол	Порт	Напрямок з програми	Призначення
Вузли гібридної безпеки даних	TCP	443	Вихідні HTTPS і WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі організатори Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці «Додаткові URL-адреси для гібридних служб Webex»«Вимоги до мережі для служб Webex»
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі організатори Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із перекладом мережевого доступу (NAT) або за брандмауером, доки NAT або брандмауер дозволяють необхідні вихідні з’єднання з адресами домену, наведеними в попередній таблиці. Для з’єднань, які надходять на вхідні дані до вузлів гібридної безпеки даних, порти не повинні відображатися з інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на портах TCP 443 і 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) притаманні регіонам. Це поточні організатори CI:

Регіон	URL-адреси загальних ідентифікаційних ресурсів
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери кальмарів, які перевіряють трафік HTTPS, можуть перешкоджати встановленню з’єднань вебсокетів (wss:). Для роботи над цією проблемою див. розділ Налаштування проксі-серверів кальмарів для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо виникне ця проблема, обхід (не інспектування) трафіку до wbx2.com і ciscospark.com вирішить проблему.

Виконати передумови для гібридної безпеки даних

Використовуйте цей контрольний список, щоб переконатися, що ви готові встановити та налаштувати кластер гібридної безпеки даних.

1	Переконайтеся, що в партнерській організації ввімкнено функцію HDS для кількох клієнтів, і отримайте облікові дані облікового запису з повним адміністратором партнера та правами повного адміністратора. Переконайтеся, що в організації клієнта Webex увімкнено пакет Pro Pack для Cisco Webex Control Hub. Зверніться до партнера Cisco або менеджера облікового запису по допомогу в цьому процесі. Організації клієнтів не повинні мати наявне розгортання HDS.
2	Виберіть доменне ім’я для розгортання HDS (наприклад, `hds.company.com`) і отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам Вимог до сертифіката X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері. Потрібно принаймні два окремих організатори (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам Вимог до віртуального організатора.
4	Підготуйте сервер бази даних, який діятиме як сховище ключових даних для кластера, відповідно до вимог сервера бази даних. Сервер бази даних має бути розташовано в захищеному центрі обробки даних із віртуальними організаторами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.) Зберіть деталі, які будуть використовувати вузли для зв’язку з сервером бази даних: ім’я хоста або IP-адреса (хост) і порт ім’я бази даних (dbname) для сховища ключів ім’я користувача та пароль користувача з усіма правами в базі даних сховища ключів
5	Для швидкого відновлення після відмови налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає середовище виробництва VM і сервер резервної бази даних. Наприклад, якщо у виробництві є 3 VM, які працюють вузли HDS, резервне середовище має мати 3 VM.
6	Налаштуйте хост syslog, щоб збирати журнали з вузлів у кластері. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням — UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних і хоста syslog. Як мінімум, щоб запобігти невиправній втраті даних, потрібно створити резервну копію бази даних і файл ISO конфігурації, створений для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, які використовуються для шифрування та дешифрування контенту, невдача підтримки оперативного розгортання призведе до НЕЗВОРОТНОЇ ВТРАТИ цього контенту. Клієнти програми Webex ховають свої ключі, тому перебої в роботі можуть бути непомітні, але з часом ставати очевидними. Хоча тимчасові перебої неможливо запобігти, вони можуть бути відновлені. Однак повна втрата (резервних копій відсутні) файлу бази даних або ISO конфігурації призведе до незворотних даних клієнтів. Очікується, що оператори вузлів гібридної безпеки даних підтримуватимуть часті резервні копії бази даних та файлу конфігурації ISO, а також будуть готові відновити центр обробки даних гібридної безпеки даних у разі виникнення катастрофічного відмови.
8	Переконайтеся, що конфігурація брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як описано в розділі Вимоги до зовнішнього з’єднання.
9	Установіть Docker ( https://www.docker.com) на будь-якому локальному комп’ютері, який працює на підтримуваній ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядній версії або Mac OSX Yosemite 10.10.3 або новіша версія) із веббраузером, який може отримати доступ до нього на сторінці http://127.0.0.1:8080. Екземпляр Docker використовується для завантаження та запуску інструменту налаштування HDS, який збирає інформацію про локальну конфігурацію для всіх вузлів гібридної безпеки даних. Можливо, потрібна ліцензія Docker Desktop. Додаткову інформацію див. в розділі Вимоги до робочого стола Docker . Щоб установити й запустити інструмент налаштування HDS, локальний комп’ютер повинен мати параметр підключення, описаний у розділі Вимоги до зовнішнього підключення.
10	Під час інтеграції проксі з гібридною безпекою даних переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштувати кластер гібридної безпеки даних

Процес розгортання гібридної безпеки даних

Перш ніж почати

1	Виконати початкове налаштування та завантажити файли інсталяції Завантажте файл OVA на локальний комп’ютер для подальшого використання.
2	Створити ISO конфігурації для хостів HDS Використовуйте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Установити OVA організатора HDS Створіть віртуальну машину з файлу OVA та виконайте початкову конфігурацію, наприклад налаштування мережі. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
4	Налаштувати VM гібридної безпеки даних Увійдіть до консолі VM і встановіть облікові дані для входу. Налаштуйте параметри мережі для вузла, якщо їх не було налаштовано на момент розгортання OVA.
5	Вивантажити та змонтувати ISO конфігурації HDS Налаштуйте VM із файлу конфігурації ISO, який ви створили за допомогою інструменту налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище потребує конфігурації проксі, укажіть тип проксі, який буде використовуватися для вузла, а в разі потреби додайте проксі-сертифікат до сховища довірених сертифікатів.
7	Зареєструвати перший вузол у кластері. Зареєструйте VM із хмарою Cisco Webex як вузол гібридної безпеки даних.
8	Створити й зареєструвати більше вузлів Завершіть налаштування кластера.
9	Активуйте HDS із підтримкою кількох клієнтів у Партнерському центрі. Активуйте HDS і керуйте організаціями клієнтів у Партнерському центрі.

Виконати початкове налаштування та завантажити файли інсталяції

У цьому завданні ви завантажуєте файл OVA на комп’ютер (не на сервери, налаштовані як вузли гібридної безпеки даних). Цей файл буде використано пізніше в процесі встановлення.

1	Увійдіть до концентратора партнера й клацніть Служби.
2	У розділі «Хмарні служби» знайдіть картку гібридної безпеки даних, а потім клацніть Налаштувати. Натискання Налаштувати в партнерському центрі має критичне значення для процесу розгортання. Не продовжуйте встановлення, не виконавши цей крок.
3	Клацніть Додати ресурс і клацніть Завантажити файл OVA на картці встановлення та налаштування програмного забезпечення . Старіші версії пакета програмного забезпечення (OVA) не будуть сумісні з останніми оновленнями гібридної безпеки даних. Це може призвести до виникнення проблем під час оновлення версії програми. Переконайтеся, що ви завантажили останню версію файлу OVA. OVA також можна завантажити будь-коли з розділу Довідка . Клацніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично розпочне завантаження. Збережіть файл у розташуванні на комп’ютері.
4	Додатково клацніть Переглянути посібник із розгортання гібридної безпеки даних , щоб перевірити, чи доступна пізніша версія цього посібника.

Створити ISO конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Partner Hub із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, можна використовувати Podman Desktop, щоб запустити інструмент налаштування HDS для кроків 1–5 у процедурі, наведеній нижче. Докладніше див. в розділі Запуск інструменту налаштування HDS за допомогою робочого стола Podman .

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підведення контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із проксі-сервером HTTPS:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

Скористайтеся веббраузером, щоб перейти до локального хоста, http://127.0.0.1:8080 і введіть ім’я користувача адміністратора для концентратора партнера в запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.

7

Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструментів налаштування клацніть Розпочати роботу.

9

На сторінці Імпорт ISO ви маєте такі параметри:

Ні. Якщо ви створюєте перший вузол HDS, у вас немає файлу ISO для передавання.
Так. Якщо ви вже створили вузли HDS, виберіть у браузері файл ISO й передайте його.

10

Переконайтеся, що сертифікат X.509 відповідає вимогам Вимогам до сертифіката X.509.

Якщо ви ніколи раніше не передавали сертифікат, передайте сертифікат X.509, введіть пароль і клацніть Продовжити.
Якщо сертифікат OK, клацніть Продовжити.
Якщо термін дії сертифіката завершився або ви хочете замінити його, виберіть Ні , щоб Продовжити використовувати ланцюжок сертифікатів HDS і закритий ключ із попереднього ISO?. Передайте новий сертифікат X.509, введіть пароль і клацніть Продовжити.

11

Введіть адресу бази даних та обліковий запис HDS, щоб отримати доступ до свого сервера ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо вибрати Microsoft SQL Server, буде отримано поле типу автентифікації.
(тільки Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Потрібне локальне ім’я облікового запису SQL Server у полі Ім’я користувача .
- Автентифікація Windows: Потрібен обліковий запис Windows у форматі username@DOMAIN в полі Ім’я користувача .
Введіть адресу сервера бази даних у формі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Для базової автентифікації можна використовувати IP-адресу, якщо вузли не можуть використовувати DNS для вирішення імені хоста.

Якщо ви використовуєте автентифікацію Windows, ви повинні ввести повне доменне ім’я у форматі dbhost.example.org:1433
Введіть ім’я бази даних.
Введіть ім’я користувача й пароль користувача з усіма правами у базі даних сховища ключів.

12

Виберіть режим підключення до бази даних TLS:

Режим	Опис
Віддавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ввімкнути TLS на сервері бази даних, вузли спробують зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується до баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення підключення TLS вузол порівнює підпис сертифіката з сервера бази даних із центром сертифікації в сертифікаті кореневого сертифіката бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім’я хоста в сертифікаті сервера збігається з ім’ям хоста в полі Хост бази даних і порт . Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли передано кореневий сертифікат (за потреби) і клацніть Продовжити, інструмент налаштування HDS перевіряє підключення TLS до сервера бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності здатності до з’єднання вузли HDS зможуть встановити підключення TLS, навіть якщо машина інструмента налаштування HDS не може його успішно перевірити.)

13

На сторінці системних журналів налаштуйте сервер Syslogd:

Введіть URL-адресу сервера syslog.

Якщо сервер DNS-розв’язний із вузлів для кластера HDS, використайте IP-адресу в URL.

Приклад:
udp://10.92.43.23:514 вказує на вхід на хост Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер syslog для шифрування SSL?.

Якщо встановити цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, як-от tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису syslog виберіть відповідні налаштування для вашого файлу ISO: Виберіть або використовується нова лінія для Graylog і Rsyslog TCP
- Нульовий байт --\ x00
- Новий рядок -- \n- Виберіть цей вибір для Graylog і Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Загалом, цей параметр є єдиним, який ви можете змінити:

app_datasource_connection_pool_maxSize: 10

15

Клацніть Продовжити на екрані Скинути пароль облікових записів служби .

Паролі облікового запису служби тривають дев’ять місяців. Використовуйте цей екран, коли термін дії ваших паролів добігає кінця, або ви хочете скинути їх, щоб скасувати попередні файли ISO.

16

Клацніть Завантажити файл ISO. Збережіть файл у зручному для пошуку розташуванні.

17

Зробіть резервну копію файлу ISO у локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Створіть файл ISO конфігурації. Він потрібен для створення більше вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії файлу ISO, ви також втратили основний ключ. Неможливо відновити ключі з бази даних PostgreSQL або Microsoft SQL Server.

У нас ніколи не буде копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Установити OVA організатора HDS

Використовуйте цю процедуру, щоб створити віртуальну машину з файлу OVA.

1	Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім клацніть Далі.
4	На сторінці Вибрати ім’я та папку введіть Ім’я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може розміщуватися розгортання вузла віртуальної машини, а потім клацніть Далі.
5	На сторінці Вибрати обчислювальний ресурс , виберіть обчислювальний ресурс призначення, а потім клацніть Далі. Виконується перевірка перевірки. Після його завершення деталі шаблону з’являться.
6	Перевірте відомості про шаблон, а потім клацніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсу на сторінці Конфігурація , клацніть 4 ЦП , а потім клацніть Далі.
8	На сторінці Вибрати сховище клацніть Далі , щоб прийняти формат диска за замовчуванням і політику зберігання VM.
9	На сторінці Вибрати мережі виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до VM.
10	На сторінці Налаштувати шаблон налаштуйте такі налаштування мережі. Ім’я хоста—Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одним словом для вузла. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмару, використовуйте лише малі символи в повному домені або імені хоста, налаштованому для вузла. Капіталізація наразі не підтримується. Загальна довжина повного домену не повинна перевищувати 64 символи. IP-адреса— введіть IP-адресу для внутрішнього інтерфейсу вузла. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується. Маска—Введіть адресу маски підмережі в крапку з комою. Наприклад, 255.255.255.0. Шлюз—Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. Сервери DNS — введіть список, розділений комами, список DNS-серверів, який обробляє перетворення доменних імен на числові IP-адреси. (Дозволено до 4 записів DNS.) Сервери NTP—Введіть сервер NTP вашої організації або інший зовнішній сервер NTP, який можна використовувати у вашій організації. Сервери NTP за замовчуванням можуть працювати не для всіх підприємств. Також можна використовувати список розділених комами, щоб ввести кілька серверів NTP. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступними від клієнтів у вашій мережі для адміністративних цілей. За бажанням можна пропустити конфігурацію налаштування мережі та виконати кроки в розділі Налаштування VM гібридної безпеки даних , щоб налаштувати параметри з консолі вузла. Параметр налаштування мережевих налаштувань під час розгортання OVA був протестований у ESXi 7.0. Цей параметр може бути недоступний у попередніх версіях.
11	Клацніть правою кнопкою миші вузол VM, а потім виберіть Power > Power On. Програмне забезпечення гібридної безпеки даних встановлюється як гість на хост VM. Тепер ви готові увійти до консолі й налаштувати вузол. Поради щодо усунення несправностей Перед появою контейнерів вузла може знадобитися затримка в кілька хвилин. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштувати VM гібридної безпеки даних

Використовуйте цю процедуру, щоб вперше увійти на консоль вузла гібридної безпеки даних VM і встановити облікові дані для входу. Крім того, можна використовувати консоль для налаштування мережевих параметрів для вузла, якщо їх не було налаштовано під час розгортання OVA.

1	У клієнті VMware vSphere виберіть вузол гібридної безпеки даних VM і перейдіть на вкладку Консоль . VM завантажується, і з’явиться підказка для входу. Якщо вікно підказки не відображається, натисніть Enter.
2	Щоб увійти й змінити облікові дані, використовуйте наведені нижче дані для входу та пароля за замовчуванням: Вхід: `admin` Пароль: `cisco` Оскільки ви вперше входите в VM, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували налаштування мережі в Установити OVA хоста HDS, пропустіть решту цієї процедури. В іншому разі в головному меню виберіть параметр Змінити конфігурацію .
4	Налаштуйте статичну конфігурацію з інформацією про IP-адресу, маску, шлюз і DNS. Вузол має мати внутрішню IP-адресу та DNS-ім’я. DHCP не підтримується.
5	(Необов’язково) Змініть ім’я хоста, домен або сервери NTP, якщо потрібно відповідно до політики мережі. Не потрібно встановлювати домен, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте VM, щоб зміни набули сили.

Вивантажити та змонтувати ISO конфігурації HDS

Використовуйте цю процедуру, щоб налаштувати віртуальну машину з файлу ISO, який ви створили за допомогою інструмента налаштування HDS.

Перед початком

Оскільки файл ISO має основний ключ, він повинен бути розкритий лише на основі "потрібно знати" для доступу VM гібридної безпеки даних і будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Передайте файл ISO зі свого комп’ютера:

На лівій панелі навігації клієнта VMware vSphere клацніть сервер ESXi.
На вкладці Конфігурація Список обладнання клацніть Сховище.
У списку Datastors клацніть правою кнопкою миші на станції даних для ваших VM і клацніть Browse Datastore.
Клацніть значок «Передати файли», а потім Передати файл.
Перейдіть до розташування, де ви завантажили файл ISO на свій комп’ютер, і клацніть Відкрити.
Клацніть Так , щоб прийняти попередження операції передавання/завантаження, і закрийте діалогове вікно сховища даних.

2

Змонтувати файл ISO:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Клацніть ОК , щоб прийняти попередження про обмежені параметри редагування.
Клацніть CD/DVD Drive 1, виберіть параметр для змонтування з файлу ISO зі сховища даних і перейдіть до розташування, де передано файл ISO конфігурації.
Перевірте Підключено та Підключитися при увімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо потрібна ваша політика ІТ, ви можете додатково демонтувати файл ISO після того, як всі вузли дослухаються змін конфігурації. Див. (Необов’язково) Демонтування ISO після конфігурації HDS , щоб отримати додаткові відомості.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які налаштовано для вузла, а потім клацніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Немає проксі— параметр за замовчуванням перед інтеграцією проксі. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі—вузли не налаштовані на використання конкретної адреси проксі-сервера, і не повинні вимагати внесення змін для роботи з проксі-сервером, що не інспектує. Оновлення сертифіката не потрібне. Прозорий проксі-сервер — вузли не налаштовані на використання конкретної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі — за допомогою явного проксі-сервера клієнту (вузли HDS) можна вказати, який проксі-сервер використовувати, і цей параметр підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: IP/FQDN проксі— адреса, яку можна використовувати для зв’язку з проксі-комп’ютером. Проксі-порт— номер порту, який проксі використовує для прослуховування проксі-трафіку. Проксі-протокол — виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал на сервер, клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— виберіть із перелічених нижче типів автентифікації. Немає— подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий — використовується для оператора користувача HTTP для надання імені користувача та пароля під час подання запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест — використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Можна продовжити налаштування, і вузол буде працювати в режимі роздільної здатності заблокованих зовнішніх DNS. Якщо ви вважаєте, що це помилка, виконайте наведені дії, а потім перегляньте Вимкнути режим роздільної здатності заблокованих зовнішніх DNS.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструвати перший вузол у кластері.

Для цього завдання потрібен універсальний вузол, який ви створили в Налаштування VM гібридної безпеки даних, реєструє вузол із хмарою Webex і перетворює його в вузол гібридної безпеки даних.

Коли ви реєструєте свій перший вузол, ви створюєте кластер, якому призначений вузол. Кластер містить один або кілька вузлів, розгорнутих для забезпечення резервування.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Налаштувати.
4	На сторінці, що відкривається, клацніть Додати ресурс.
5	У першому полі Додати вузол введіть ім’я кластера, якому потрібно призначити вузол гібридної безпеки даних. Рекомендовано назвати кластер залежно від місця географічного розташування вузлів кластера. Приклади: "Сан-Франциско" або "Нью-Йорк" або "Даллас"
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та клацніть Додати внизу екрана. Ця IP-адреса або повне доменне ім’я хоста й домен, які ви використовували в Налаштуванні VM гібридної безпеки даних. З’явиться повідомлення, що вказує на те, що можна зареєструвати свій вузол у Webex.
7	Клацніть Перейти до вузла. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації Webex дозволи на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex.
9	Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, буде відображено на вкладці Ресурси . Вузол автоматично завантажить останню версію програмного забезпечення з хмари.

Створити й зареєструвати більше вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові VM і змонтуйте той самий файл ISO конфігурації, а потім зареєструйте вузол. Рекомендовано мати принаймні 3 вузли.

Перед початком

Після початку реєстрації вузла потрібно завершити її протягом 60 хвилин, або потрібно почати знову.
Переконайтеся, що всі блокувальники спливаючих елементів у вашому браузері вимкнено або дозволено виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторюючи кроки в Установити OVA організатора HDS.
2	Налаштуйте початкову конфігурацію на новому VM, повторюючи кроки в Налаштуванні VM гібридної безпеки даних.
3	У новому VM повторіть кроки в Передати та змонтувати ISO конфігурації HDS.
4	Якщо ви налаштовуєте проксі для розгортання, повторіть кроки в Налаштуйте вузол HDS для інтеграції проксі відповідно до вимог нового вузла.
5	Зареєструйте вузол. У https://admin.webex.com виберіть Служби в меню ліворуч від екрана. У розділі Хмарні служби знайдіть картку гібридної безпеки даних і клацніть Переглянути всі. З’явиться сторінка ресурсів гібридної безпеки даних. Щойно створений кластер відобразиться на сторінці Ресурси . Клацніть кластер, щоб переглянути вузли, призначені до кластера. Клацніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати. Відкривається сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька секунд вас буде перенаправлено до тестів підключення вузла для служб Webex. Якщо всі тести будуть успішними, з’явиться сторінка Дозволити доступ до вузла гібридної безпеки даних. Там ви підтверджуєте, що хочете надати організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вузла гібридної безпеки даних , а потім клацніть Продовжити. Ваш обліковий запис перевірено, а повідомлення «Реєстрація завершена» вказує на те, що ваш вузол зареєстровано в хмарі Webex. Клацніть посилання або закрийте вкладку, щоб повернутися на сторінку гібридної безпеки даних партнерського центру. Доданий вузол спливаюче повідомлення також відображається внизу екрана в Партнерському центрі. Ваш вузол зареєстровано.

Керування організаціями клієнтів у розділі гібридної безпеки даних із підтримкою кількох клієнтів

Активувати HDS із підтримкою кількох клієнтів у Партнерському центрі

Це завдання гарантує, що всі користувачі в організації клієнта зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перед початком

Переконайтеся, що ви завершили налаштування кластера HDS із кількома клієнтами з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування.
4	Клацніть Активувати HDS на картці стану HDS .

Додати організації осередків у партнерський центр

У цьому завданні призначаються організації клієнтів до кластера гібридної безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	Клацніть кластер, до якого ви хочете призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти .
6	Клацніть Додати клієнтів.
7	Виберіть клієнта, якого потрібно додати з розкривного меню.
8	Клацніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки 6–8, щоб додати декілька клієнтів до кластера.
10	Клацніть Готово внизу екрана після додавання клієнтів.

Що далі

Запустіть інструмент налаштування HDS, як докладніше описано в розділі Створити головні ключі клієнта (CMK), використовуючи інструмент налаштування HDS , щоб завершити процес налаштування.

Створити головні ключі клієнта (CMK) за допомогою інструмента налаштування HDS

Перед початком

Призначте клієнтів до відповідного кластера, як детально описано в Додати організації клієнтів у Партнерському центрі. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для нещодавно доданих клієнтських організацій.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його. Переконайтеся, що підключення до бази даних для виконання керування CMK.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Створити CMK для всіх організацій або Створити CMK . Натисніть цю кнопку на банері вгорі екрана, щоб створити CMK для всіх нещодавно доданих організацій. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Створити CMK , щоб створити CMK для всіх нещодавно доданих організацій. Клацніть … біля керування CMK, що очікує стан конкретної організації в таблиці, і клацніть Створити CMK , щоб створити CMK для цієї організації.
12	Після успішного створення CMK стан у таблиці буде змінено з очікування керування CMK на кероване CMK.
13	Якщо не вдалося створити CMK, буде відображено помилку.

Видалити організації осередків

Перед початком

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для потреб шифрування та втратять усі наявні простори. Перш ніж видалити організації клієнтів, зверніться до партнера Cisco або менеджера облікових записів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть гібридну безпеку даних і клацніть Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкривається, клацніть Призначені клієнти.
6	У списку відображуваних організацій клієнта клацніть ... праворуч від організації клієнта, яку потрібно видалити, і клацніть Видалити з кластера.

Що далі

Завершіть процес видалення, відкликавши CMK організацій клієнтів, як описано в розділі Відкликання CMK клієнтів, видалених із HDS.

Відкликайте CMK клієнтів, видалених з HDS.

Перед початком

Видаліть клієнтів із відповідного кластера, як описано в розділі Видалити організації клієнтів. Запустіть інструмент налаштування HDS, щоб завершити процес видалення для організацій клієнтів, які були видалені.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікового запису Partner Hub із повними правами адміністратора для вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із проксі-сервером HTTPS: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Скористайтеся веббраузером, щоб перейти до локального хоста, `http://127.0.0.1:8080` і введіть ім’я користувача адміністратора для концентратора партнера в запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити належне середовище для цього облікового запису. Потім інструмент відображає стандартну підказку для входу.
7	Коли з’явиться відповідний запит, введіть облікові дані для входу адміністратора партнерського центру й клацніть Увійти , щоб дозволити доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструментів налаштування клацніть Розпочати роботу.
9	На сторінці Імпорт ISO клацніть Так.
10	Виберіть файл ISO у браузері й передайте його.
11	Перейдіть на вкладку Керування CMK клієнта , де ви знайдете три способи керування CMK клієнта. Відкликати CMK для всіх організацій або Відкликати CMK . Натисніть цю кнопку на банері вгорі екрана, щоб відкликати CMK усіх організацій, які було видалено. Клацніть кнопку Керування CMK у правій частині екрана й клацніть Відкликати CMK , щоб відкликати CMK усіх організацій, які було видалено. Клацніть … біля CMK, щоб відкликати стан конкретної організації в таблиці, і клацніть Відкликати CMK , щоб відкликати CMK для цієї конкретної організації.
12	Після успішного відкликання CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, буде відображено помилку.

Протестуйте розгортання гібридної безпеки даних

Перевірити розгортання гібридної безпеки даних

Використовуйте цю процедуру, щоб перевірити сценарії шифрування гібридної безпеки даних для кількох клієнтів.

Перед початком

Налаштуйте розгортання гібридної безпеки даних із кількома клієнтами.
Упевніться, що у вас є доступ до syslog, щоб переконатися, що запити ключів передаються до розгортання гібридної безпеки даних із кількома клієнтами.

1

Ключі для певного простору встановлюються його творцем. Увійдіть в програму Webex як один із користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, контент у просторах, які створюються користувачами, більше не буде доступний після заміни кешованих клієнтом копій ключів шифрування.

2

Надішліть повідомлення до нового простору.

3

Перевірте вивід syslog, щоб переконатися, що запити ключів передаються розгортанню гібридної безпеки даних.

Щоб перевірити, чи користувач першим установлює безпечний канал для KMS, виконайте фільтрування kms.data.method=create і kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви повинні знайти запис, наприклад такий (ідентифікатори скорочено для зручності читання):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Щоб перевірити, чи користувач запитує наявний ключ із KMS, виконайте фільтрування kms.data.method=retrieve й kms.data.type=KEY:

Необхідно знайти запис, наприклад:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Щоб перевірити користувача, який подав запит на створення нового ключа KMS, виконайте фільтрування kms.data.method=create і kms.data.type=KEY_COLLECTION:

Необхідно знайти запис, наприклад:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Щоб перевірити, чи користувача, який запитує створення нового ресурсного об’єкта KMS (KRO), під час створення простору або іншого захищеного ресурсу, виконайте фільтрування kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Необхідно знайти запис, наприклад:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Моніторинг гібридної безпеки даних

Індикатор стану в Партнерському центрі показує, чи все гаразд із розгортанням гібридної безпеки даних для кількох клієнтів. Щоб підвищити активність оповіщень, зареєструйтеся в сповіщеннях електронною поштою. Ви отримаєте сповіщення, якщо з’являться попередження, які впливають на службу, або оновлення версії програмного забезпечення.

1	У Партнерському центрі виберіть Служби в меню зліва екрана.
2	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Змінити налаштування. З’явиться сторінка параметрів гібридної безпеки даних.
3	У розділі «Сповіщення електронної пошти» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Для керування розгортанням гібридної безпеки даних використовуйте завдання, описані тут.

Установити розклад оновлення кластера.

Оновлення версії програмного забезпечення для гібридної безпеки даних здійснюється автоматично на рівні кластера, завдяки чому всі вузли завжди працюють одну й ту саму версію програмного забезпечення. Оновлення версії здійснюється відповідно до розкладу оновлення версії для кластера. Коли оновлення версії програмного забезпечення стане доступним, у вас є можливість вручну оновити версію до запланованого часу оновлення версії. Можна встановити конкретний розклад оновлення версії або використовувати розклад за замовчуванням, який становить 3:00 ранку щоденно у США: Америка/Лос-Анджелес. Ви також можете за потреби відкласти майбутні оновлення версії.

Щоб налаштувати розклад оновлення версії, виконайте наведені нижче дії.

1	Увійдіть у партнерський центр.
2	У меню ліворуч від екрана виберіть Служби.
3	У розділі Хмарні служби знайдіть Гібридна безпека даних і клацніть Налаштувати.
4	На сторінці ресурсів гібридної безпеки даних виберіть кластер.
5	Клацніть вкладку Налаштування кластера .
6	"На сторінці ""Налаштування кластера"" в розділі ""Розклад оновлення версії"" виберіть час і часовий пояс для розкладу оновлення версії." Примітки У часовому поясі відображено наступну дату й час оновлення версії. Можна відкласти оновлення на наступний день, якщо потрібно, клацнувши Відкласти на 24 години.

Змінити конфігурацію вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

Програмне скидання— старі й нові паролі працюють до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— старі паролі негайно припиняють працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Процес налаштування вимагає облікових даних облікового запису Partner Hub із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, можна використовувати Podman Desktop, щоб запустити інструмент налаштування HDS для кроків 1.a – 1.e в процедурі, наведеній нижче. Докладніше див. в розділі Запуск інструменту налаштування HDS за допомогою робочого стола Podman .

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть облікові дані для входу клієнта Partner Hub, а потім клацніть Прийняти , щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас працює лише один вузол HDS, створіть новий вузол гібридної безпеки даних VM і зареєструйте його, використовуючи новий файл ISO конфігурації. Докладні інструкції див. в розділі Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у партнерському центрі.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Клацніть `CD/DVD Drive 1`, виберіть параметр для змонтування з файлу ISO і перейдіть до розташування, де завантажено новий файл ISO конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використовуйте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до даних безпеки.

1

Використовуйте клієнт VMware vSphere на комп’ютері, щоб увійти в віртуальний хост ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до концентратора партнера й виберіть Служби.
На картці гібридної безпеки даних клацніть Переглянути всі , щоб відобразити сторінку ресурсів гібридної безпеки даних.
Виберіть кластер, щоб відобразити його панель огляду.
Клацніть вузол, який потрібно видалити.
Клацніть Скасувати реєстрацію цього вузла на панелі, що з’явиться справа.
Можна також скасувати реєстрацію вузла, клацнувши … праворуч від вузла й вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть VM. (На панелі навігації ліворуч клацніть правою кнопкою миші VM і клацніть Видалити.)

Якщо ви не видалите VM, не забудьте демонтувати файл ISO конфігурації. Без файлу ISO неможливо використовувати VM для доступу до даних безпеки.

Відновлення після відмови за допомогою центру обробки даних у режимі очікування

Найважливішою службою, яку надає кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, запити на створення нового ключа маршрутизуються в кластер. Кластер також несе відповідальність за повернення створених ключів будь-яким користувачам, авторизованим для їх отримання, наприклад учасникам простору розмови.

Оскільки кластер виконує критичну функцію надання цих ключів, дуже важливо, щоб кластер продовжував працювати та щоб підтримувалися належні резервні копії. Втрата бази даних гібридної безпеки даних або ISO конфігурації, що використовується для схеми, призведе до НЕПОПРАВНОЇ ВТРАТИ контенту клієнта. Для запобігання такої втрати є обов'язковими такі практики:

Якщо внаслідок стихійного лиха розгортання HDS у основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну виконати аварійне перемикання на центр обробки даних у режимі очікування.

Перед початком

Скасуйте реєстрацію всіх вузлів із Партнерського центру, як зазначено в розділі Видалити вузол. Щоб виконати процедуру аварійного перемикання, згадану нижче, використовуйте останній файл ISO, налаштований проти вузлів кластера, який раніше був активний.

1	Запустіть інструмент налаштування HDS і виконайте кроки, зазначені в Створити ISO конфігурації для хостів HDS.
2	Завершіть процес конфігурації та збережіть файл ISO у зручному для пошуку розташуванні.
3	Зробіть резервну копію файлу ISO у локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить основний ключ шифрування для вмісту бази даних. Обмежте доступ лише тими адміністраторами гібридної безпеки даних, які повинні вносити зміни конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Клацніть Змінити налаштування >Диск CD/DVD 1 і виберіть файл ISO Datastore. Переконайтеся, що встановлено прапорець параметрів Підключено та Connect при увімкненні , щоб оновлені зміни конфігурації набули сили після запуску вузлів.
6	Увімкніть вузол HDS і переконайтеся, що немає попереджень щонайменше 15 хвилин.
7	Зареєструйте вузол у партнерському центрі. Див. розділ Зареєструвати перший вузол у кластері.
8	Повторити процес для кожного вузла в центрі обробки даних у режимі очікування.

Що далі

Після аварійного перемикання, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів центру обробки даних у режимі очікування та повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов’язково) Демонтування ISO після конфігурації HDS

Стандартна конфігурація HDS працює зі змонтованим ISO. Але деякі клієнти воліють не залишати файли ISO постійно змонтовані. Можна демонтувати файл ISO після того, як усі вузли HDS підхопили нову конфігурацію.

Ви все ще використовуєте файли ISO для внесення змін до конфігурації. Під час створення нового ISO або оновлення ISO за допомогою інструмента налаштування потрібно змонтувати оновлене ISO на всіх вузлах HDS. Після того як усі ваші вузли отримають зміни конфігурації, можна знову демонтувати ISO за допомогою цієї процедури.

Перед початком

Оновіть версію всіх вузлів HDS до версії 2021.01.22.4720 або пізнішої.

1	Закрийте один із вузлів HDS.
2	У пристрої vCenter Server Device виберіть вузол HDS.
3	Виберіть Змінити налаштування > Диск CD/DVD і зніміть прапорець файлу ISO Datastore.
4	Увімкніть вузол HDS і переконайтеся, що попередження відсутнє щонайменше 20 хвилин.
5	Повторюйте для кожного вузла HDS по черзі.

Усунення несправностей гібридної безпеки даних

Переглянути сповіщення та усунути несправності

Розгортання гібридної безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює настільки повільно, що вимагає часу очікування. Якщо користувачі не можуть зв’язатися з кластером гібридної безпеки даних, вони відчувають такі симптоми:

Не вдалося створити нові простори (неможливо створити нові ключі).
Не вдалося розшифрувати повідомлення та назви просторів для:
- Нові користувачі додані до простору (неможливо отримати ключі)
- Наявні користувачі в просторі, що використовують новий клієнт (неможливо отримати ключі).
Наявні користувачі в просторі продовжуватимуть успішно запускатися, доки їхні клієнти матимуть кеш ключів шифрування.

Важливо належним чином відстежувати кластер гібридної безпеки даних і швидко надсилати будь-які сповіщення, щоб уникнути порушення роботи служби.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Партнерський центр відображає сповіщення адміністратору організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато загальних сценаріїв.

Таблиця 1. Загальні проблеми та кроки для їх вирішення
Сповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем локальної мережі.
Помилка підключення до локальної бази даних.	Перевірте доступність сервера бази даних і правильні облікові дані облікового запису служби використано в конфігурації вузла.
Помилка доступу до хмарної служби.	Переконайтеся, що вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього з’єднання.
Поновлення реєстрації хмарної служби.	Реєстрацію в хмарних службах скасовано. Триває подовження реєстрації.
Реєстрацію хмарної служби скасовано.	Реєстрацію в хмарних службах припинено. Роботу служби припиняється.
Службу ще не активовано.	Активуйте HDS у Партнерському центрі.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат сервера збігається з налаштованим доменом активації служби. Найімовірніша причина полягає в тому, що сертифікат CN нещодавно був змінений і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалось автентифікувати в хмарних службах.	Перевірте точність і можливий термін дії облікових даних облікового запису обслуговування.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність і точність пароля у локальному файлі сховища ключів.
Неприпустимий сертифікат локального сервера.	Перевірте дату закінчення терміну дії сертифіката сервера й упевніться, що він був виданий довіреним центром сертифікації.
Не вдалося опублікувати показники.	Перевірте доступ до локальної мережі до зовнішніх хмарних служб.
Каталогу /media/configdrive/hds не існує.	Перевірте конфігурацію змонтування ISO на віртуальному вузлі. Переконайтеся, що файл ISO існує, що його налаштовано на монтування до перезавантаження та що він успішно монтується.
Налаштування організації клієнта не завершено для доданих організацій	Завершіть налаштування, створивши CMK для нещодавно доданих організацій клієнтів за допомогою інструменту налаштування HDS.
Налаштування організації клієнта не завершено для видалених організацій	Завершіть налаштування, відкликавши CMK організацій клієнтів, які були вилучені за допомогою інструменту налаштування HDS.

Усунення несправностей гібридної безпеки даних

Використовуйте наведені далі загальні інструкції під час виправлення неполадок із службою гібридної безпеки даних.

1	Перегляньте Партнерський центр на наявність будь-яких сповіщень і виправте будь-які знайдені в ньому елементи. Для довідки дивіться зображення нижче.
2	Перегляньте вивід сервера syslog для дій із розгортання гібридної безпеки даних. Щоб допомогти у вирішенні неполадок, виконайте фільтр для таких слів, як "Попередження" та "Помилка".
3	Зверніться до служби підтримки Cisco.

Інші примітки

Відомі проблеми гібридної безпеки даних

Якщо закрити кластер гібридної безпеки даних (видалити його в партнерському центрі або закрити всі вузли), втратити файл ISO конфігурації або втратити доступ до бази даних сховища ключів, користувачі програми Webex організацій клієнтів більше не зможуть використовувати простори зі списку осіб, створені за допомогою клавіш із KMS. Зараз у нас немає готового рішення або виправлення цієї проблеми. Ми закликаємо вас не закривати ваші служби HDS після того, як вони обробляють облікові записи активних користувачів.
Клієнт, який має наявне підключення ECDH до KMS, підтримує це підключення протягом періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою робочого стола Podman

Podman — це безкоштовний інструмент керування контейнерами з відкритим кодом, який надає спосіб запускати, керувати та створювати контейнери. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ, завантажте й запустіть Podman на цьому комп’ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі у вашому середовищі, надайте налаштування проксі (сервер, порт, облікові дані) за допомогою змінних середовища Docker під час підйому контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Створений вами файл ISO конфігурації містить основний ключ для шифрування бази даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни конфігурації, як-от ці:
- Облікові дані бази даних
- Оновлення сертифіката
- Зміни політики авторизації
Якщо ви плануєте зашифрувати підключення до бази даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює файл ISO. Потім ви використовуєте ISO, щоб налаштувати вузол гібридної безпеки даних.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створити ISO конфігурації для хостів HDS або Змініть конфігурацію вузла , щоб створити або змінити конфігурацію ISO.

Використовуйте OpenSSL для створення файлу PKCS12

Перед початком

OpenSSL — це інструмент, який можна використовувати для створення файлу PKCS12 у належному форматі для завантаження в інструменті налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо чи не просуваємо один шлях над іншим.
Якщо ви вирішите використовувати OpenSSL, ми надаємо цю процедуру як інструкцію, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509 у Вимогам до сертифіката X.509. Перш ніж продовжити, ознайомтеся з цими вимогами.
Установіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org програмне забезпечення та документацію.
Створіть закритий ключ.
Почніть цю процедуру, коли ви отримаєте сертифікат сервера від Certificate Authority (CA).

1	Коли ви отримаєте сертифікат сервера від ЦС, збережіть його як `hdsnode.pem`.
2	Відобразити сертифікат у вигляді тексту та перевірте відомості. `openssl x509 -text -noout -in hdsnode.pem`
3	Використовуйте текстовий редактор, щоб створити файл пакету сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакету повинен містити сертифікат сервера, будь-які проміжні сертифікати ЦС і кореневі сертифікати ЦС у форматі нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із дружнім ім’ям `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте відомості про сертифікат сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у поле запиту, щоб зашифрувати закритий ключ так, щоб його було відображено в виведенні. Потім переконайтеся, що закритий ключ і перший сертифікат містять лінії `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Поверніться до завершення обов’язкових умов для гібридної безпеки даних. Ви використовуватимете hdsnode.p12 файл і налаштований для нього пароль у Створити ISO конфігурації для хостів HDS.

Можна повторно використовувати ці файли, щоб надіслати запит на новий сертифікат, коли термін дії оригінального сертифіката завершиться.

Трафік між вузлами HDS і хмарою

Трафік збору вихідних показників

Вузли гібридної безпеки даних надсилають певні показники в хмару Webex. До них відносяться системні показники для максимальної кількості ключів, кількості використаних ключів, навантаження ЦП та кількості ланцюжків; показники для синхронних та асинхронних потоків; показники для сповіщень, що включають поріг підключень шифрування, затримку або довжину черги запитів; показники на сервері даних; а також показники підключення шифрування. Вузли надсилають зашифрований матеріал ключа через канал поза смугою (окремо від запиту).

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, маршрутизованих службою шифрування
Оновлення версії програмного забезпечення вузла

Налаштувати проксі-сервери Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань вебсокетів (wss:), які потребують гібридної безпеки даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid, щоб ігнорувати wss: трафік для належної роботи служб.

Кальмари 4 і 5

Додайте on_unsupported_protocol директиву до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно перевірили гібридну безпеку даних. У squid.conf додано наведені нижче правила. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть … праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Наразі кожне розгортання багатоорендарної HDS може мати лише один кластер з кількома вузлами під ним.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Організації-партнери: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Програма	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте OVA-файл на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Хмарні служби» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.
4	За потреби натисніть Див. посібник з розгортання гібридної безпеки даних, щоб перевірити, чи доступна пізніша версія цього посібника.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити».
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити».

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер системного журналу на шифрування SSL?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `cisco` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище» .
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК», щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Хмарні сервіси» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки Додати вузол введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі «Хмарні сервіси» знайдіть картку «Гібридна безпека даних» і натисніть «Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Хмарні сервіси» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування» .
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Хмарні сервіси» знайдіть «Гібридна безпека даних» і натисніть «Переглянути всі.
4	Клацніть на кластері, до якого потрібно призначити клієнта.
5	Перейдіть на вкладку Призначені клієнти.
6	Натисніть Додати клієнтів.
7	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
8	Натисніть Додати, клієнта буде додано до кластера.
9	Повторіть кроки з 6 по 8, щоб додати кількох клієнтів до кластера.
10	Після додавання клієнтів натисніть «Готово » внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів до відповідного кластера, як детально описано в Додавання організацій-клієнтів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть … біля статусу очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Хмарні сервіси» знайдіть «Гібридна безпека даних» і натисніть «Переглянути всі.
4	На вкладці Ресурси клацніть кластер, з якого потрібно видалити організації клієнтів.
5	На сторінці, що відкриється, натисніть Призначені клієнти.
6	Зі списку відображених організацій клієнтів натисніть ... праворуч від організації клієнта, яку потрібно видалити, і натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів з відповідного кластера, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть … поруч зі статусом CMK, який потрібно скасувати для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Хмарні сервіси» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування» . З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі Хмарні служби знайдіть Гібридну безпеку даних і натисніть Налаштувати
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Видалити цей вузол.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Скасуйте реєстрацію всіх вузлів у Центрі партнерів, як зазначено в Видалення вузла. Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
3	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
4	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
5	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
6	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
7	Зареєструйте вузол у Центрі партнерів. Див. Зареєструйте перший вузол у кластері.
8	Повторіть процес для кожного вузла в резервному центрі обробки даних.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, скасуйте реєстрацію вузлів резервного центру обробки даних і повторіть процес налаштування ISO та реєстрації вузлів основного центру обробки даних, як зазначено вище.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2021.01.22.4720 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли створити неможливо (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення неполадок із гібридною безпекою даних.

1	Перегляньте Центр партнерів на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
2	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
3	Зверніться до служби підтримки Cisco.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете кластер Hybrid Data Security (видаливши його в Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати багатокористувацьку HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть кластер у Центрі керування

1	Увійдіть до Центру керування. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть ... праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Хмарні сервіси» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Додати вузол введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	У розділі Ресурсиклацніть на щойно створеному кластері.
10	На сторінці, що відкриється, натисніть вкладку Призначені клієнти.
11	Натисніть Додати клієнтів.
12	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
13	Натисніть Додати, клієнта буде додано до кластера.
14	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
15	Після додавання клієнтів натисніть «Готово » внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі Multi-Tenant HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Партнерські організації: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте OVA-файл на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер системного журналу на шифрування SSL?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, наприклад tcp://10.92.43.23:514.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `cisco` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли не можна створити (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, яка надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції, у якій зазначено, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Організації-партнери: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 або 16, встановлено та запущено.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `cisco` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини, щоб оновити пароль.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли не можна створити (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його було видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення неполадок із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
1 червня 2026 року	Додано розділ API розробників HDS. Додано примітку до розділу Запуск інструмента налаштування HDS за допомогою Podman Desktop.
16 квітня 2026 року	Оновлено вимоги до сервера бази даних для додавання підтримки PostgreSQL версій 17 та 18.
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, яка надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Організації-партнери: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 або 18, встановлений та запущений.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого відновлення після збою налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте OVA-файл на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через відмінності в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо комп’ютер із засобом налаштування HDS не зможе успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини для оновлення пароля.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли не можна створити (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

API розробників HDS

API розробників HDS – це спосіб отримання аналітичних даних та даних моніторингу, а також усунення несправностей розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
23 червня 2026 року	Додано розділ «Інтерпретація журналів HDS та розуміння міток агентів».
1 червня 2026 року	Додано розділ API розробників HDS. Додано примітку до розділу Запуск інструмента налаштування HDS за допомогою Podman Desktop.
16 квітня 2026 року	Оновлено вимоги до сервера бази даних для додавання підтримки PostgreSQL версій 17 та 18.
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Control Hub.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав послуги або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Організації-партнери: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 або 18, встановлений та запущений.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та розшифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте OVA-файл на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost.

За допомогою веббраузера перейдіть на локальний хост http://127.0.0.1:8080та введіть ім’я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку «Далі» .
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли в кластері були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Інтерпретація журналів HDS та розуміння міток агентів

Журнали HDS надають детальну інформацію щодо запитів KMS. Ці журнали містять різні поля, які допомагають визначити характер запиту та пов’язану з ним особу. Розуміння цих полів є важливим для правильної інтерпретації діяльності та надійних внутрішніх операцій.

Термінологія

Для забезпечення ясності під час перегляду журналів HDS важливо розуміти такі терміни:

Строк	Визначення
Обліковий запис служби	Ідентифікатор служби, який дозволяє службам Webex безпечно виконувати авторизовані дії.
Оператор	Ідентифікатор сервісної сутності або сервісного облікового запису, що використовується для виконання автоматизованих операцій у середовищі HDS.
Мітка агента	Тег, що міститься в журналах HDS, який ідентифікує конкретне джерело та тип вхідного запиту, що дозволяє проводити ефективний аудит контролю доступу.
Делегований доступ	Авторизований обліковий запис служби, що робить запит для певного користувачав межах дозволів цього користувача. Відображається як запит на делегування: `agent -> userid`.

Термін «Агент» у цьому контексті стосується саме ідентифікаторів служб HDS. Вони не пов’язані з агентами на базі штучного інтелекту, що використовуються в інших функціях Webex.

Запит обслуговується лише коли він походить з:

автентифікований користувач у вашій організації, або
обліковий запис служби, який знаходиться у вашій організації та авторизований нею.

Огляд полів журналу

Поле	Що це являє собою
Позначка часу	Дата та час операції.
kms.data.method	Виконана операція KMS (наприклад, отримання).
kms.data.orgld	Ідентифікатор організації.
kms.data.httpUserAgent	Клієнт або служба, що робить запит.
WEBEX_Ідентифікатор відстеження	Унікальний ідентифікатор відстеження для запиту.
kms.data.uriHost / kms.data.uri	Хост і ресурс, на які спрямований запит.
kms.data.userld	Ідентифікатор, що виконує запит, включаючи мітку агента.
kms.response.success	Вказує, чи запит було виконано успішно.

Типи запитів – короткий довідник

Тег у журналі	Мітка агента	Що це являє собою	Типові операції
Тип користувача: агент користувача	User Agent	Довірений обліковий запис служби, пов’язаний із робочим процесом користувача, що діє в межах вашої організації.	Creating/managing ключі для користувацького процесу.
o-агент <id> -> ідентифікатор користувача <id>	Агент організації	Обліковий запис довіреної служби на рівні організації з делегованим доступом.	Вилучення даних Webex відповідальним за дотримання вимог, інтеграція календарів.
c-агент <id> -> ідентифікатор користувача <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит для певного користувача.	Сканування на віруси, попередній перегляд контенту, транскрипти.
c-агент <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит.	Екологічна освіта та освіта (ECDHE) / сеансові ключі.
UUID кінцевого користувача	-	Автентифікований кінцевий користувач взаємодіє з HDS.	Користувач, який отримує свій власний ключ.

Типи запитів – детальніше

Мітки агентів класифікують джерело запиту та допомагають визначити відповідні засоби контролю доступу. У наведених нижче прикладах демонструється кілька типів запитів та пов’язані з ними мітки агентів.

Агент користувача (userAgent):

Це довірені облікові записи служби Webex, пов’язані з певними робочими процесами користувачів і обмежені організацією клієнта. Зазвичай вони використовуються, коли служба створює та керує ключами від імені робочого процесу користувача.

Зразок журналу:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент користувача (userAgent) виконує операції збору ресурсів для служби Webex.
Організаційний агент (o-агент):

Ці довірені облікові записи служби Webex уповноважені виконувати делеговані операції від імені користувачів у HDS. Ці облікові записи, що обмежені організацією клієнта, виконують операції на рівні організації. Ця функція підтримує кілька функцій, таких як надання співробітникам з дотримання вимог можливості пошуку та вилучення даних зв'язку Webex, що забезпечує відповідність організації нормативним вимогам, стандартам безпеки та конфіденційності даних.

Зразок журналу:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент організації (o-agent 9[~]c) отримує ключ від імені користувача (4[~]b) для служби Webex.
Хмарний агент (c-agent):
Ці довірені облікові записи служби Webex мають право виконувати операції на HDS через делегований доступ від імені користувача. Вони підтримують важливі функції, такі як записи після зустрічей, стенограми, сканування на наявність шкідливого програмного забезпечення та попередній перегляд файлів, що покращують загальний користувацький досвід.

Хоча хмарних агентів можна вимкнути, змінивши ISO-образ, клієнти повинні знати, що це призведе до втрати функцій, таких як запис стенограм після зустрічі або автоматичне сканування на наявність шкідливого програмного забезпечення.

Зразок журналу:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як хмарний агент (c-agent b[~]c) отримує ключ вмісту від імені користувача (9[~]c).

Пряма взаємодія кінцевого користувача:

Автентифікований користувач, який безпосередньо взаємодіє з HDS.

Зразок журналу:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключовий індикатор: У зразку журналу показано кінцевого користувача (c[~]f), який отримує ключ та безпосередньо взаємодіє з HDS.

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини для оновлення пароля.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів і натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли створити неможливо (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

API розробників HDS

API розробників HDS – це спосіб отримання аналітичних даних та даних моніторингу, а також усунення несправностей розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Нова та змінена інформація

У цій таблиці описано нові функції або можливості, зміни до існуючого вмісту та будь-які основні помилки, виправлені в Посібнику з розгортання багатоклієнтської гібридної безпеки даних.

Дата	Внесені зміни
2 липня 2026 року	Додано розділ «Вимкнути хмарні агенти».
23 червня 2026 року	Додано розділ «Інтерпретація журналів HDS та розуміння міток агентів».
1 червня 2026 року	Додано розділ API розробників HDS. Додано примітку до розділу Запуск інструмента налаштування HDS за допомогою Podman Desktop.
16 квітня 2026 року	Оновлено вимоги до сервера бази даних для додавання підтримки PostgreSQL версій 17 та 18.
25 березня 2026 року	Оновлено пароль за замовчуванням, який використовується для входу до віртуальної машини вузла гібридної безпеки даних.
5 грудня 2025 року	Оновлено Створіть ISO-образ конфігурації для хостів HDS з правильним текстом інтерфейсу користувача на сторінці системних журналів та додано інструкцію щодо завантаження кореневого сертифіката системного журналу під час налаштування шифрування TLS.
21 листопада 2025 року	Додано розділ «Часті запитання » . Додано розділи Налаштування резервного центру обробки даних для аварійного відновлення та Аварійне відновлення за допомогою резервного центру обробки даних. Видалено (Бета-версія) з назви посібника з розгортання.
8 травня 2025 року	Додано Переміщення існуючого розгортання HDS для одного клієнта партнерської організації в Центрі керування до налаштування HDS для кількох клієнтів у розділі Центру партнерів. Оновлено вивід системного журналу для покращення читабельності в розділі «Перевірка розгортання гібридної безпеки даних». Оновлено Вимоги до віртуального хоста, Потік завдань розгортання гібридної безпеки данихта Інсталяцію OVA хоста HDS для додавання підтримки ESXi 8.0.
4 березня 2025 року	Додано Запуск інструменту налаштування HDS за допомогою розділу Podman Desktop. Додано примітку в Вимоги до Docker Desktop, що надає клієнтам альтернативний варіант з відкритим вихідним кодом. Оновлено Створення ISO-файлу конфігурації для хостів HDS та Зміна конфігурації вузла з інструкціями щодо використання Podman Desktop для клієнтів без ліцензії Docker Desktop.
30 січня 2025 року	Додано SQL Server версії 2022 до списку підтримуваних SQL-серверів у Вимоги до сервера бази даних.
15 січня 2025 року	Додано обмеження гібридної безпеки даних для кількох орендарів.
8 січня 2025 року	Додано примітку в розділі Виконання початкового налаштування та завантаження файлів інсталяції про те, що натискання кнопки Налаштувати на картці HDS у Центрі партнерів є важливим кроком у процесі інсталяції.
7 січня 2025 року	Оновлено вимоги до віртуального хоста, потік завдань розгортання гібридної безпеки данихта встановлення OVA хоста HDS для відображення нових вимог ESXi 7.0.
13 грудня 2024 року	Вперше опубліковано.

Деактивація гібридної безпеки даних для кількох клієнтів

Послідовність завдань деактивації багатокористувацького HDS

Виконайте ці кроки, щоб повністю деактивувати Multi-Tenant HDS.

Перш ніж почати

Це завдання має виконувати лише повноправний адміністратор партнера.

1	Видаліть усіх клієнтів з усіх ваших кластерів, як зазначено в Видалення організацій-орендарів.
2	Скасувати CMK усіх клієнтів, як зазначено в Скасувати CMK орендарів, видалених з HDS..
3	Видаліть усі вузли з усіх ваших кластерів, як зазначено в Видалення вузла.
4	Видаліть усі кластери з Центру партнерів одним із двох наведених нижче способів. Клацніть на кластері, який потрібно видалити, і виберіть Видалити цей кластер у верхньому правому куті сторінки огляду. На сторінці «Ресурси» натисніть праворуч від кластера та виберіть Видалити кластер.
5	На сторінці огляду гібридної безпеки даних натисніть вкладку Налаштування та натисніть Деактивувати HDS на картці «Стан HDS».

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

В. Основні ключі клієнта (CMK) зберігаються в базі даних і шифруються за допомогою головного ключа, який зберігається в ISO-образі.

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

В. Ні. Дані кожної організації-клієнта шифруються за допомогою власного CMK (головного ключа клієнта).

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

В. Деякі операції, такі як створення простору та планування зустрічей, будуть негайно вплинуті. Існуючий контент у просторах буде доступний, доки не закінчиться термін дії локального кешу. Через 24 години користувачі, якими керує партнер, перейдуть на Cloud KMS, і можуть виникнути проблеми з раніше створеними просторами та просторами з індивідуальною підтримкою.

З. Після того, як ключ керування ключем клієнта (CMK) буде згенеровано для організації клієнта за допомогою інструмента налаштування HDS, чи одразу починають користувачі організації клієнта використовувати багатокористувацьку HDS?

В. Максимальна затримка оновлення хмарного кешу може становити 24 години.

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

В. Зазвичай це означає, що немає організацій-клієнтів, які відповідають вимогам ліцензії Cisco Webex.

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

В. Такі операції, як створення просторів та планування зустрічей, негайно змінюються. Існуючий контент доступний лише до закінчення терміну дії локального кешу.

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

A. Так. Наразі дані користувачів організації-партнера зашифровані за допомогою головного ключа. У майбутньому партнерські організації матимуть специфічні для партнерів ключі, подібні до ключів CMK клієнтів.

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

A. Так. Організації-партнери та орендарі можуть бути розташовані в різних географічних регіонах.

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

В. Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

В. Ні, наразі це не підтримується. Підтримка цієї функції планується в майбутньому.

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

В. Увійдіть до Центру партнерів. Перейти до Послуги > Гібридна безпека даних > Налаштування . Якщо статус HDS активовано, користувачі партнерської організації, а також призначені клієнти використовують багатоклієнтську HDS.

Або ж ви можете перевірити свої системні журнали, щоб переконатися, що HDS активовано. Див. Перевірка розгортання гібридної безпеки даних.

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

A. Так. Pod man Desktop — це альтернатива Docker Desktop з відкритим кодом. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop.

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

В. Ми рекомендуємо мінімум два вузли та максимум 1000.

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

В. Див. Вимоги до зовнішнього підключення.

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

В. Ні. Pro Pack не є обов'язковим для організацій-партнерів. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу в налаштуванні багатокористувацького HDS.

З. Чи підтримується HSM у багатоклієнтській HDS?

В. Ні, наразі багатокористувацька система HDS не підтримує HSM.

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

В. Ні. Для багатокористувацького HDS потрібен сертифікат, отриманий від довіреного центру сертифікації, який відповідає всім вимогам, зазначеним у Вимоги до сертифіката X.509.

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

В. Ні. ISO-образ потрібно монтувати лише під час зміни конфігурацій ISO. Під час додавання нового клієнта в Центрі партнерів переконайтеся, що ви можете створювати CMK за допомогою інструмента налаштування HDS. Див. Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS.

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

В. Користувачі почнуть використовувати локальну KMS для керування ключами лише після активації HDS у Центрі партнерів.

Почніть роботу з багатоклієнтською гібридною безпекою даних

Огляд безпеки гібридних даних для кількох орендарів

З першого дня безпека даних була основним пріоритетом під час розробки застосунку Webex. Основою цієї безпеки є наскрізне шифрування контенту, яке забезпечується клієнтами Webex App, що взаємодіють зі Службою керування ключами (KMS). KMS відповідає за створення і управління криптографічними ключами, які клієнти використовують для динамічного шифрування і дешифрування повідомлень і файлів.

За замовчуванням усі клієнти Webex App отримують наскрізне шифрування з динамічними ключами, що зберігаються в хмарній KMS у сфері безпеки Cisco. Гібридна безпека даних переміщує KMS та інші функції, пов'язані з безпекою, до вашого корпоративного центру обробки даних, тому ніхто, крім вас, не тримає ключі до вашого зашифрованого вмісту.

Багатокористувацька гібридна безпека даних дозволяє організаціям використовувати HDS через надійного локального партнера, який може виступати постачальником послуг та керувати локальним шифруванням та іншими службами безпеки. Така конфігурація дозволяє партнерській організації мати повний контроль над розгортанням та керуванням ключами шифрування, а також гарантує безпеку даних користувачів організацій клієнтів від зовнішнього доступу. Партнерські організації налаштовують екземпляри HDS та створюють кластери HDS за потреби. Кожен екземпляр може підтримувати кілька організацій клієнтів, на відміну від звичайного розгортання HDS, яке обмежене однією організацією.

Хоча партнерські організації контролюють розгортання та управління, вони не мають доступу до даних і контенту, створених клієнтами. Цей доступ обмежений для організацій-клієнтів та їхніх користувачів.

Це також дозволяє меншим організаціям використовувати HDS, оскільки служба управління ключами та інфраструктура безпеки, така як центри обробки даних, належать довіреному місцевому партнеру.

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Користувацький контент захищений від зовнішнього доступу, наприклад, від постачальників хмарних послуг.
Місцеві довірені партнери керують ключами шифрування клієнтів, з якими вони вже мають усталені відносини.
Можливість локальної технічної підтримки, якщо її надає партнер.
Підтримує зустрічі, обмін повідомленнями та дзвінки.

Цей документ має на меті допомогти організаціям-партнерам налаштувати та керувати клієнтами в рамках багатоклієнтської гібридної системи безпеки даних.

Обмеження гібридної безпеки даних для кількох орендарів

Організації-партнери не повинні мати жодного активного розгортання HDS у Центрі керування.
Організації-орендарі або клієнти, які бажають, щоб ними керував партнер, не повинні мати жодного розгортання HDS у Control Hub.
Після розгортання партнером Multi-Tenant HDS усі користувачі організацій клієнтів, а також користувачі організації-партнера почнуть використовувати Multi-Tenant HDS для своїх послуг шифрування.

Організація-партнер та організації-клієнти, якими вони керують, будуть використовуватись в одному розгортанні Multi-Tenant HDS.

Організація-партнер більше не використовуватиме хмарну службу керування ключами (KMS) після розгортання багатоклієнтської HDS.
Немає механізму для переміщення ключів назад до Cloud KMS після розгортання HDS.
Ролі адміністратора мають певні обмеження; докладніше див. розділ нижче.

Ролі в багатоклієнтній гібридній безпеці даних

Повний адміністратор партнера – Може керувати налаштуваннями для всіх клієнтів, якими керує партнер. Також може призначати ролі адміністратора наявним користувачам в організації та призначати певних клієнтів, якими керуватимуть адміністратори партнера.
Адміністратор партнера – Може керувати налаштуваннями для клієнтів, яким адміністратор надав доступ або яких було призначено користувачеві.
Повний адміністратор – адміністратор організації-партнера, який має право виконувати такі завдання, як зміна налаштувань організації, керування ліцензіями та призначення ролей.

Комплексне налаштування та управління багатокористувацькою HDS для всіх організацій клієнтів - Потрібні повні права адміністратора партнера та повні права адміністратора.
Керування призначеними організаціями-орендарями - Потрібен адміністратор-партнер та повні права адміністратора.

Архітектура області безпеки

Хмарна архітектура Webex розділяє різні типи послуг на окремі області або довірчі домени, як показано нижче.

Щоб краще зрозуміти гібридну безпеку даних, спочатку розглянемо цей випадок із чисто хмарними технологіями, де Cisco надає всі функції у своїх хмарних сферах. Служба ідентифікації, єдине місце, де користувачі можуть бути безпосередньо пов'язані зі своєю особистою інформацією, такою як адреса електронної пошти, логічно та фізично відокремлена від сфери безпеки в центрі обробки даних B. Обидві, у свою чергу, відокремлені від сфери, де зрештою зберігається зашифрований контент, у центрі обробки даних C.

На цій діаграмі клієнтом є додаток Webex, що працює на ноутбуці користувача та пройшов автентифікацію за допомогою служби ідентифікації. Коли користувач створює повідомлення для надсилання до простору, відбуваються такі кроки:

Клієнт встановлює безпечне з'єднання зі службою керування ключами (KMS), а потім запитує ключ для шифрування повідомлення. Безпечне з’єднання використовує ECDH, а KMS шифрує ключ за допомогою головного ключа AES-256.
Повідомлення шифрується перед тим, як залишити клієнта. Клієнт надсилає його до служби індексування, яка створює зашифровані пошукові індекси для полегшення подальшого пошуку контенту.
Зашифроване повідомлення надсилається до служби відповідності для перевірки відповідності.
Зашифроване повідомлення зберігається в області сховища.

Під час розгортання гібридної безпеки даних ви переміщуєте функції області безпеки (KMS, індексування та відповідність вимогам) до локального центру обробки даних. Інші хмарні сервіси, що входять до складу Webex (включаючи сховище ідентифікаційних даних та контенту), залишаються у сфері Cisco.

Співпраця з іншими організаціями

Користувачі у вашій організації можуть регулярно використовувати застосунок Webex для співпраці із зовнішніми учасниками з інших організацій. Коли один із ваших користувачів запитує ключ для простору, що належить вашій організації (оскільки його створив один із ваших користувачів), ваша KMS надсилає ключ клієнту через захищений канал ECDH. Однак, коли ключем для простору володіє інша організація, ваша KMS направляє запит до хмари Webex через окремий канал ECDH, щоб отримати ключ від відповідної KMS, а потім повертає ключ вашому користувачеві через вихідний канал.

Служба KMS, що працює в організації A, перевіряє підключення до KMS в інших організаціях за допомогою сертифікатів PKI x.509. Див. Підготовка середовища для отримання детальної інформації про створення сертифіката x.509 для використання з розгортанням багатоклієнтської гібридної безпеки даних.

Очікування щодо розгортання гібридної безпеки даних

Розгортання гібридної безпеки даних вимагає значних зобов'язань та усвідомлення ризиків, пов'язаних з володінням ключами шифрування.

Щоб розгорнути гібридну безпеку даних, необхідно надати:

Безпечний центр обробки даних у країні, що є підтримуваним місцем розташування для планів Cisco Webex Teams.
Обладнання, програмне забезпечення та доступ до мережі, описані в Підготовка середовища.

Повна втрата ISO-образу конфігурації, який ви створюєте для Hybrid Data Security, або наданої вами бази даних призведе до втрати ключів. Втрата ключа не дозволяє користувачам розшифрувати вміст простору та інші зашифровані дані в застосунку Webex. Якщо це станеться, ви можете створити нове розгортання, але буде видно лише новий вміст. Щоб уникнути втрати доступу до даних, необхідно:

Керувати резервним копіюванням та відновленням бази даних і ISO-образу конфігурації.
Будьте готові до швидкого аварійного відновлення у разі виникнення катастрофи, такої як збій диска бази даних або аварія центру обробки даних.

Немає механізму для переміщення ключів назад до хмари після розгортання HDS.

Процес налаштування високого рівня

У цьому документі розглядається налаштування та керування розгортанням гібридної системи безпеки даних для кількох клієнтів:

Налаштування гібридної безпеки даних— Це включає підготовку необхідної інфраструктури та встановлення програмного забезпечення гібридної безпеки даних, створення кластера HDS, додавання організацій-орендарів до кластера та керування їхніми основними ключами клієнтів (CMK). Це дозволить усім користувачам ваших організацій-клієнтів використовувати ваш кластер гібридної безпеки даних для функцій безпеки.

Етапи налаштування, активації та управління детально розглянуті в наступних трьох розділах.
Підтримуйте розгортання гібридної безпеки даних— Хмара Webex автоматично забезпечує постійні оновлення. Ваш ІТ-відділ може забезпечити підтримку першого рівня для цього розгортання та за потреби залучити службу підтримки Cisco. Ви можете використовувати екранні сповіщення та налаштувати сповіщення на основі електронної пошти в Центрі партнерів.
Розуміння поширених сповіщень, кроків усунення несправностей та відомих проблем— Якщо у вас виникли проблеми з розгортанням або використанням Hybrid Data Security, останній розділ цього посібника та додаток «Відомі проблеми» можуть допомогти вам визначити та вирішити проблему.

Гібридна модель розгортання безпеки даних

У вашому корпоративному центрі обробки даних ви розгортаєте гібридну безпеку даних як єдиний кластер вузлів на окремих віртуальних хостах. Вузли взаємодіють з хмарою Webex через захищені вебсокети та захищений HTTP.

Під час процесу встановлення ми надаємо вам OVA-файл для налаштування віртуального пристрою на наданих вами віртуальних машинах. Ви використовуєте інструмент налаштування HDS для створення ISO-файлу конфігурації кластера, який монтується на кожному вузлі. Кластер гібридної безпеки даних використовує наданий вами сервер Syslogd та базу даних PostgreSQL або Microsoft SQL Server. (Ви налаштовуєте Syslogd та деталі підключення до бази даних у засобі налаштування HDS.)

Гібридна модель розгортання безпеки даних

Мінімальна кількість вузлів, яку можна мати в кластері, становить два. Ми рекомендуємо щонайменше три на кластер. Наявність кількох вузлів гарантує, що обслуговування не переривається під час оновлення програмного забезпечення або інших робіт з технічного обслуговування вузла. (Хмара Webex оновлює лише один вузол за раз.)

Усі вузли в кластері мають доступ до одного й того ж сховища ключових даних і реєструють активність на одному й тому ж сервері системного журналу. Самі вузли не мають стану та обробляють ключові запити циклічним способом, згідно з вказівками хмари.

Вузли стають активними після реєстрації їх у Центрі партнерів. Щоб вивести окремий вузол з експлуатації, ви можете скасувати його реєстрацію, а потім за потреби повторно зареєструвати.

Резервний центр обробки даних для аварійного відновлення

Під час розгортання ви налаштовуєте безпечний резервний центр обробки даних. У разі аварії центру обробки даних ви можете вручну перевести розгортання до резервного центру обробки даних.

Бази даних активних та резервних центрів обробки даних синхронізовані одна з одною, що мінімізує час, необхідний для виконання резервного перемикання.

Активні вузли гібридної безпеки даних завжди повинні знаходитися в тому ж центрі обробки даних, що й активний сервер бази даних.

Налаштування резервного центру обробки даних для аварійного відновлення

Виконайте наведені нижче кроки, щоб налаштувати ISO-файл резервного центру обробки даних:

Перш ніж почати

Резервний центр обробки даних повинен відображати виробниче середовище віртуальних машин та резервну базу даних PostgreSQL або Microsoft SQL Server. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини. (Див. Резервний центр обробки даних для аварійного відновлення для отримання огляду цієї моделі відновлення після збою.)
Переконайтеся, що синхронізацію бази даних увімкнено між базою даних активних та пасивних вузлів кластера.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб перевести вузол у пасивний режим. У цьому режимі вузол буде зареєстрований в організації та підключений до хмари, але не оброблятиме трафік. `passiveMode: 'true'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте системні журнали, щоб переконатися, що вузли перебувають у пасивному режимі. Ви повинні мати змогу побачити повідомлення «KMS налаштовано в пасивному режимі» в системних журналах.

Що далі

Після налаштування passiveMode у файлі ISO та його збереження ви можете створити ще одну копію файлу ISO без налаштування passiveMode та зберегти її в безпечному місці. Ця копія ISO-файлу без налаштованого passiveMode може допомогти у швидкому процесі відновлення після збою. Див. Аварійне відновлення з використанням резервного центру обробки даних для отримання детальної інформації про процедуру відновлення після збою.

Підтримка проксі

Гібридна безпека даних підтримує явні, прозорі перевірки та неінспектування проксі. Ви можете прив'язати ці проксі до свого розгортання, щоб ви могли захищати та контролювати трафік від підприємства до хмари. Ви можете використовувати інтерфейс адміністратора платформи на вузлах для управління сертифікатами та для перевірки загального стану підключення після налаштування проксі-сервера на вузлах.

Гібридні вузли захисту даних підтримують такі параметри проксі-сервера:

Без проксі-сервера— значення за замовчуванням, якщо ви не використовуєте сховище довірених сертифікатів налаштування вузла HDS & Налаштування проксі-сервера для інтеграції проксі-сервера. Оновлення сертифіката не потрібне.
Прозорий неінспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспектуючим проксі-сервером. Оновлення сертифіката не потрібне.
Прозоре тунелювання або перевірка проксі-сервера— Вузли не налаштовані на використання певної адреси проксі-сервера. На вузлах не потрібні зміни конфігурації HTTP або HTTPS. Однак вузлам потрібен кореневий сертифікат, щоб вони довіряли проксі. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS).
Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте вузлам HDS, який проксі-сервер та схему автентифікації використовувати. Щоб налаштувати явний проксі, необхідно ввести наступну інформацію на кожному вузлі:
1. Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною.
2. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку.
3. Протокол проксі-сервера— Залежно від того, що підтримує ваш проксі-сервер, виберіть один із наступних протоколів:
  - HTTP — Перегляд і контроль усіх запитів, які надсилає клієнт.
  - HTTPS — забезпечує канал серверу. Клієнт отримує та перевіряє сертифікат сервера.
4. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації:
  - Немає— Подальша автентифікація не потрібна.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
  - Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64.
    
    Доступно, якщо в якості проксі-протоколу вибрано HTTP або HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.
  - Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі.
    
    Доступно, лише якщо в якості проксі-протоколу вибрано протокол HTTPS.
    
    Потрібно ввести ім'я користувача і пароль на кожному вузлі.

Приклад гібридних вузлів безпеки даних і проксі-сервера

На цій схемі наведено приклад підключення між гібридною безпекою даних, мережею та проксі-сервером. Для прозорої перевірки та явної перевірки параметрів проксі-сервера HTTPS на проксі-сервері та на вузлах гібридної безпеки даних повинен бути встановлений той самий кореневий сертифікат.

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. У розгортаннях з явними конфігураціями проксі-сервера, які не дозволяють зовнішню роздільну здатність DNS для внутрішніх клієнтів, якщо вузол не може запитувати DNS-сервери, він автоматично переходить у режим блокування зовнішньої роздільної здатності DNS. У цьому режимі можна продовжити реєстрацію вузла та інші тести проксі-підключення.

Підготовка середовища

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Щоб розгорнути багатоклієнтську гібридну безпеку даних:

Партнерські організації: Зверніться до свого партнера Cisco або менеджера облікового запису та переконайтеся, що функція «Мультикенант» увімкнена.
Організації орендарів: Для Cisco Webex Control Hub вам потрібен Pro Pack. (Див. https://www.cisco.com/go/pro-pack.)

Вимоги до робочого столу Docker

Перш ніж встановлювати вузли HDS, вам потрібно запустити програму налаштування Docker Desktop. Docker нещодавно оновив свою модель ліцензування. Ваша організація може вимагати платну підписку на Docker Desktop. Для отримання детальної інформації див. допис у блозі Docker "Docker оновлює та розширює підписку на наш продукт".

Клієнти без ліцензії Docker Desktop можуть використовувати інструмент керування контейнерами з відкритим кодом, такий як Podman Desktop, для запуску, керування та створення контейнерів. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Вимоги до сертифіката X.509

Ланцюжок сертифікатів повинен відповідати таким вимогам:

Таблиця 1. Вимоги до сертифіката X.509 для гібридного розгортання безпеки даних
Вимоги	Відомості
Підписано довіреним центром сертифікації (CA)	За замовчуванням ми довіряємо центрам сертифікації (CA) зі списку Mozilla (за винятком WoSign та StartCom) за адресою https://wiki.mozilla.org/CA:IncludedCAs.
Має доменне ім'я Common Name (CN), яке ідентифікує ваше розгортання гібридної безпеки даних Не є шаблонним сертифікатом	CN не обов'язково має бути доступним або активним хостом. Ми рекомендуємо використовувати назву, яка відображає вашу організацію, наприклад, `hds.company.com`. Комбінований номер не повинен містити * (підстановлювальний знак). CN використовується для перевірки вузлів гібридної безпеки даних для клієнтів Webex App. Усі вузли гібридної безпеки даних у вашому кластері використовують один і той самий сертифікат. Ваша KMS ідентифікує себе за допомогою домену CN, а не будь-якого домену, визначеного в полях SAN x.509v3. Після реєстрації вузла з цим сертифікатом зміна доменного імені CN не підтримується.
Підпис, що не є SHA1	Програмне забезпечення KMS не підтримує підписи SHA1 для перевірки підключень до KMS інших організацій.
Відформатовано як PKCS, захищений паролем #12 файл Використовуйте зрозуміле ім'я `kms-private-key`, щоб позначити сертифікат, закритий ключ та будь-які проміжні сертифікати для завантаження.	Ви можете скористатися конвертером, таким як OpenSSL, щоб змінити формат вашого сертифіката. Вам потрібно буде ввести пароль під час запуску інструменту налаштування HDS.

Програмне забезпечення KMS не передбачає використання ключів або розширених обмежень на їх використання. Деякі центри сертифікації вимагають, щоб до кожного сертифіката застосовувалися розширені обмеження на використання ключів, такі як автентифікація сервера. Можна використовувати автентифікацію сервера або інші налаштування.

Вимоги до віртуального хоста

Віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у вашому кластері, мають такі вимоги:

Принаймні два окремі хости (рекомендовано 3), розташовані в одному безпечному центрі обробки даних
Встановлено та запущено VMware ESXi 7.0 або 8.0.

Вам потрібно оновити систему, якщо у вас є попередня версія ESXi.
Мінімум 4 віртуальних процесори, 8 ГБ основної пам'яті, 30 ГБ місця на локальному жорсткому диску на сервер

Вимоги до сервера бази даних

Створіть нову базу даних для зберігання ключів. Не використовуйте базу даних за замовчуванням. Після встановлення програми HDS створюють схему бази даних.

Існує два варіанти для сервера баз даних. Вимоги до кожного з них такі:

Таблиця 2. Вимоги до сервера бази даних за типом бази даних
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 або 18, встановлений та запущений.	Встановлено SQL Server 2016, 2017, 2019 або 2022 (Enterprise або Standard). Для SQL Server 2016 потрібен пакет оновлень 2 (SP2) та сукупний пакет оновлень 2 (Commulative Update 2) або пізніша версія.
Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).	Мінімум 8 віртуальних процесорів, 16 ГБ основної пам'яті, достатньо місця на жорсткому диску та моніторинг, щоб гарантувати, що цей обсяг не перевищено (рекомендується 2 ТБ, якщо ви хочете запускати базу даних протягом тривалого часу без необхідності збільшення обсягу сховища).

Програмне забезпечення HDS наразі встановлює такі версії драйверів для зв'язку із сервером бази даних:

PostgreSQL

Microsoft SQL Server

Драйвер Postgres JDBC 42.2.5

Драйвер JDBC для SQL Server версії 4.6

Ця версія драйвера підтримує SQL Server Always On ( екземпляри кластера Always On Failover Cluster та групи доступності Always On).

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Якщо ви хочете, щоб вузли HDS використовували автентифікацію Windows для отримання доступу до вашої бази даних сховища ключів на Microsoft SQL Server, вам потрібна така конфігурація у вашому середовищі:

Вузли HDS, інфраструктура Active Directory та MS SQL Server повинні бути синхронізовані з NTP.
Обліковий запис Windows, який ви надаєте вузлам HDS, повинен мати read/write доступ до бази даних.
DNS-сервери, які ви надаєте вузлам HDS, повинні мати можливість розпізнавати ваш центр розподілу ключів (KDC).
Ви можете зареєструвати екземпляр бази даних HDS на вашому Microsoft SQL Server як ім'я принципала-служби (SPN) в Active Directory. Див. Реєстрація імені принципала служби для підключень Kerberos.

Інструмент налаштування HDS, засіб запуску HDS та локальна KMS повинні використовувати автентифікацію Windows для доступу до бази даних сховища ключів. Вони використовують дані з вашої конфігурації ISO для створення SPN під час запиту доступу з автентифікацією Kerberos.

Вимоги до зовнішнього підключення

Налаштуйте брандмауер, щоб дозволити такі підключення для програм HDS:

Застосування	Протокол	Порт	Вказівки з програми	Призначення
Гібридні вузли безпеки даних	TCP	443	Вихідний HTTPS та WSS	Сервери Webex: .wbx2.com .ciscospark.com Усі хости Common Identity Інші URL-адреси, перелічені для гібридної безпеки даних у таблиці Додаткові URL-адреси для гібридних служб Webex у розділі Мережеві вимоги для служб Webex
Інструмент налаштування HDS	TCP	443	Вихідний HTTPS	*.wbx2.com Усі хости Common Identity hub.docker.com

Вузли гібридної безпеки даних працюють із трансляцією мережевого доступу (NAT) або за брандмауером, якщо NAT або брандмауер дозволяє необхідні вихідні підключення до доменних пунктів призначення, зазначених у попередній таблиці. Для вхідних з’єднань, що надходять до вузлів гібридної безпеки даних, жодні порти не повинні бути видимими з Інтернету. У вашому центрі обробки даних клієнтам потрібен доступ до вузлів гібридної безпеки даних на TCP-портах 443 та 22 для адміністративних цілей.

URL-адреси для хостів Common Identity (CI) залежать від регіону. Ось поточні хости CI:

Регіон	URL-адреси спільних хостів ідентифікації
Північна та Південна Америки	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Європейський Союз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сінгапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Об’єднані Арабські Емірати	https://idbroker-ae.webex.com https://identity-ae.webex.com

Вимоги до проксі-сервера

Ми офіційно підтримуємо наступні проксі-рішення, які можуть інтегруватися з вашими вузлами гібридної безпеки даних.
- Прозорий проксі—пристрій веб-безпеки Cisco (WSA).
- Явний проксі-кальмар.
  
  Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню вебсокета. (wss:) зв'язки. Щоб вирішити цю проблему, див. Налаштування проксі-серверів Squid для гібридної безпеки даних.
Ми підтримуємо такі комбінації типів автентифікації для явних проксі:
- Немає автентифікації за допомогою HTTP або HTTPS
- Базова автентифікація за допомогою HTTP або HTTPS
- Автентифікація дайджесту лише за допомогою ПРОТОКОЛУ HTTPS
Для прозорої перевірки проксі-сервера або явного проксі-сервера HTTPS необхідно мати копію кореневого сертифіката проксі-сервера. Інструкції з розгортання в цьому посібнику розповідають, як завантажити копію в надійні сховища вузлів гібридної безпеки даних.
Мережа, в якій розміщуються вузли HDS, повинна бути налаштована на примусове витіснення TCP-трафіку на порту 443 для маршрутизації через проксі.
Проксі-сервери, які перевіряють веб-трафік, можуть перешкоджати з'єднанню веб-сокетів. Якщо ця проблема виникає, обхід (не перевірка) трафіку до wbx2.com та ciscospark.com вирішить її.

Виконайте попередні умови для гібридної безпеки даних

Скористайтеся цим контрольним списком, щоб переконатися, що ви готові до встановлення та налаштування кластера гібридної безпеки даних.

1	Переконайтеся, що у вашій партнерській організації ввімкнено функцію Multi-Tenant HDS, і отримайте облікові дані облікового запису з повними правами адміністратора партнера та повними правами адміністратора. Переконайтеся, що ваша організація клієнта Webex увімкнена для Pro Pack для Cisco Webex Control Hub. Зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів, щоб отримати допомогу з цим процесом. Організації-клієнти не повинні мати жодного розгорнутого HDS.
2	Виберіть доменне ім'я для розгортання HDS (наприклад, `hds.company.com`) та отримайте ланцюжок сертифікатів, що містить сертифікат X.509, закритий ключ та будь-які проміжні сертифікати. Ланцюжок сертифікатів має відповідати вимогам, наведеним у Вимоги до сертифікатів X.509.
3	Підготуйте ідентичні віртуальні хости, які ви налаштуєте як вузли гібридної безпеки даних у своєму кластері. Вам потрібно щонайменше два окремі хости (рекомендовано 3), розташовані в одному захищеному центрі обробки даних, які відповідають вимогам, наведеним у Вимоги до віртуального хоста.
4	Підготуйте сервер бази даних, який слугуватиме сховищем ключових даних для кластера, відповідно до вимог до сервера бази даних. Сервер бази даних має бути розміщений у захищеному центрі обробки даних разом із віртуальними хостами. Створіть базу даних для зберігання ключів. (Ви повинні створити цю базу даних — не використовуйте базу даних за замовчуванням.) Після встановлення програми HDS створюють схему бази даних. Зберіть деталі, які вузли використовуватимуть для зв'язку із сервером бази даних: ім'я хоста або IP-адреса (хост) та порт ім'я бази даних (dbname) для зберігання ключів ім'я користувача та пароль користувача з усіма правами доступу до бази даних сховища ключів
5	Для швидкого аварійного відновлення налаштуйте резервне середовище в іншому центрі обробки даних. Середовище резервного копіювання відображає виробниче середовище віртуальних машин та резервного сервера бази даних. Наприклад, якщо у виробничому середовищі є 3 віртуальні машини з вузлами HDS, то й у середовищі резервного копіювання повинно бути 3 віртуальні машини.
6	Налаштуйте хост системних журналів для збору журналів з вузлів кластера. Зберіть його мережеву адресу та порт системного журналу (за замовчуванням UDP 514).
7	Створіть політику безпечного резервного копіювання для вузлів гібридної безпеки даних, сервера бази даних та хоста системного журналу. Як мінімум, щоб запобігти безповоротній втраті даних, необхідно створити резервну копію бази даних та ISO-файлу конфігурації, згенерованого для вузлів гібридної безпеки даних. Оскільки вузли гібридної безпеки даних зберігають ключі, що використовуються для шифрування та дешифрування контенту, нездатність підтримувати робоче розгортання призведе до НЕПОВОРОТНОЇ ВТРАТИ цього контенту. Клієнти Webex App кешують свої ключі, тому збій може бути помітним не одразу, але стане очевидним з часом. Хоча тимчасових перебоїв неможливо запобігти, їх можна усунути. Однак повна втрата (без резервних копій) бази даних або ISO-файлу конфігурації призведе до неможливості відновлення даних клієнта. Оператори вузлів гібридної безпеки даних повинні регулярно створювати резервні копії бази даних та ISO-файлу конфігурації, а також бути готовими до відновлення центру обробки даних гібридної безпеки даних у разі катастрофічного збою.
8	Переконайтеся, що конфігурація вашого брандмауера дозволяє підключення для вузлів гібридної безпеки даних, як зазначено в Вимоги до зовнішнього підключення.
9	Встановіть Docker ( https://www.docker.com) на будь-який локальний комп'ютер з підтримуваною ОС (Microsoft Windows 10 Professional або Enterprise 64-розрядна версія, або Mac OSX Yosemite 10.10.3 або вище) з веббраузером, який може отримати до нього доступ за адресою http://127.0.0.1:8080. Ви використовуєте екземпляр Docker для завантаження та запуску інструменту налаштування HDS, який створює локальну конфігураційну інформацію для всіх вузлів Hybrid Data Security. Вам може знадобитися ліцензія Docker Desktop. Див. Вимоги до робочого столу Docker для отримання додаткової інформації. Щоб встановити та запустити інструмент налаштування HDS, локальний комп’ютер повинен мати підключення, описане в Вимоги до зовнішнього підключення.
10	Якщо ви інтегруєте проксі-сервер із Hybrid Data Security, переконайтеся, що він відповідає вимогам до проксі-сервера.

Налаштування гібридного кластера безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Перш ніж почати

1	Виконайте початкове налаштування та завантажте інсталяційні файли Завантажте файл OVA на свій локальний комп'ютер для подальшого використання.
2	Створення ISO-образу конфігурації для хостів HDS Використайте інструмент налаштування HDS, щоб створити файл конфігурації ISO для вузлів гібридної безпеки даних.
3	Встановлення OVA хоста HDS Створіть віртуальну машину з OVA-файлу та виконайте початкову конфігурацію, таку як мережеві налаштування. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
4	Налаштування віртуальної машини гібридної безпеки даних Увійдіть до консолі віртуальної машини та встановіть облікові дані для входу. Налаштуйте мережеві параметри для вузла, якщо ви не налаштували їх під час розгортання OVA.
5	Завантажте та змонтуйте ISO-файл конфігурації HDS Налаштуйте віртуальну машину з файлу конфігурації ISO, який ви створили за допомогою інструмента налаштування HDS.
6	Налаштування вузла HDS для інтеграції проксі Якщо мережеве середовище вимагає налаштування проксі-сервера, вкажіть тип проксі-сервера, який використовуватиметься для вузла, і за потреби додайте сертифікат проксі-сервера до сховища довірених сертифікатів.
7	Зареєструйте перший вузол у кластері Зареєструйте віртуальну машину в хмарі Cisco Webex як вузол гібридної безпеки даних.
8	Створення та реєстрація додаткових вузлів Завершіть налаштування кластера.
9	Активуйте багатокористувацьку HDS у Центрі партнерів. Активуйте HDS та керуйте організаціями орендарів у Центрі партнерів.

Виконайте початкове налаштування та завантажте інсталяційні файли

У цьому завданні ви завантажуєте файл OVA на свій комп’ютер (не на сервери, які ви налаштували як вузли гібридної безпеки даних). Ви використаєте цей файл пізніше в процесі встановлення.

1	Увійдіть до Центру партнерів і натисніть Послуги.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати. Натискання кнопки Налаштувати у Центрі партнерів є критично важливим для процесу розгортання. Не продовжуйте встановлення без завершення цього кроку.
3	Натисніть Додати ресурс та натисніть Завантажити файл .OVA на картці Встановлення та налаштування програмного забезпечення. Старіші версії програмного пакету (OVA) не будуть сумісні з останніми оновленнями Hybrid Data Security. Це може призвести до проблем під час оновлення програми. Переконайтеся, що ви завантажили останню версію OVA-файлу. Ви також можете завантажити OVA будь-коли з розділу Довідка. Натисніть Налаштування > Довідка > Завантажити програмне забезпечення гібридної безпеки даних. Файл OVA автоматично почне завантажуватися. Збережіть файл у певному місці на вашому комп’ютері.

Створення ISO-образу конфігурації для хостів HDS

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків з 1 по 5 у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5 нижче. У цій таблиці наведено деякі можливі змінні середовища:

Опис

Змінна

HTTP-проксі без автентифікації

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS проксі без автентифікації

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-проксі з автентифікацією

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS проксі з автентифікацією

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

1

У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища:

У звичайних середовищах:

docker rmi ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.

2

Щоб увійти до реєстру Docker-зображень, введіть наступне:

docker login -u hdscustomersro

3

На запиті пароля введіть цей хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Завантажте останнє стабільне зображення для вашого середовища:

У звичайних середовищах:

docker pull ciscocitg/hds-setup:stable

У середовищах FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Після завершення витягування введіть відповідну команду для вашого середовища:

У звичайних середовищах без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

У звичайних середовищах з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У звичайних середовищах із HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

У середовищах FedRAMP без проксі-сервера:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
```

У середовищах FedRAMP з http проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

У середовищах FedRAMP з HTTPS-проксі:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".

6

Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

За допомогою веббраузера перейдіть на локальний хост, http://127.0.0.1:8080, і введіть ім'я користувача admin для Центру партнерів у запиті.

Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.

7

Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.

8

На сторінці огляду інструмента налаштування натисніть Початок роботи.

9

На сторінці Імпорт ISO у вас є такі опції:

Ні— Якщо ви створюєте свій перший вузол HDS, у вас немає ISO-файлу для завантаження.
Так— Якщо ви вже створили вузли HDS, тоді вибираєте свій ISO-файл у вікні перегляду та завантажуєте його.

10

Перевірте, чи відповідає ваш сертифікат X.509 вимогам, наведеним у Вимоги до сертифіката X.509.

Якщо ви ніколи раніше не завантажували сертифікат, завантажте сертифікат X.509, введіть пароль і натисніть «Продовжити» .
Якщо ваш сертифікат в порядку, натисніть Продовжити.
Якщо термін дії вашого сертифіката минув або ви хочете його замінити, виберіть Ні для Продовжити використовувати ланцюжок сертифікатів HDS та закритий ключ з попереднього ISO?. Завантажте новий сертифікат X.509, введіть пароль і натисніть «Продовжити» .

11

Введіть адресу бази даних та обліковий запис для HDS, щоб отримати доступ до вашого сховища ключових даних:

Виберіть тип бази даних (PostgreSQL або Microsoft SQL Server).

Якщо ви оберете Microsoft SQL Server, ви отримаєте поле «Тип автентифікації».
(Тільки для Microsoft SQL Server ) Виберіть тип автентифікації:
- Базова автентифікація: Вам потрібно вказати ім'я локального облікового запису SQL Server у полі Ім'я користувача.
- Автентифікація Windows: Вам потрібен обліковий запис Windows у форматі username@DOMAIN у полі Ім’я користувача.
Введіть адресу сервера бази даних у форматі : або :.

Приклад:
dbhost.example.org:1433 або 198.51.100.17:1433

Ви можете використовувати IP-адресу для базової автентифікації, якщо вузли не можуть використовувати DNS для визначення імені хоста.

Якщо ви використовуєте автентифікацію Windows, потрібно ввести повне доменне ім'я у форматі dbhost.example.org:1433
Введіть назву бази даних.
Введіть Ім’я користувача та Пароль користувача з усіма правами доступу до бази даних сховища ключів.

12

Виберіть Режим підключення до бази даних TLS:

Режим	Опис
Надавати перевагу TLS (параметр за замовчуванням)	Вузли HDS не потребують TLS для з 'єднання з сервером бази даних. Якщо ви ввімкнете TLS на сервері бази даних, вузли спробують встановити зашифроване з’єднання.
Вимагати TLS	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS.
Вимагати TLS і перевірити підписувача сертифіката	Цей режим не застосовується для баз даних SQL Server. Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.
Вимагати TLS і перевірити особу, яка підписала сертифікат, і назву вузла	Вузли HDS з 'єднуються, лише якщо сервер бази даних може узгоджувати TLS. Після встановлення TLS-з’єднання вузол порівнює підписанта сертифіката з сервера бази даних із центром сертифікації в кореневому сертифікаті бази даних. Якщо вони не збігаються, вузол припиняє з 'єднання. Вузли також перевіряють, чи ім'я хоста в сертифікаті сервера збігається з іменем хоста в полі Хост та порт бази даних. Імена повинні точно збігатися, або вузол скасує з 'єднання. Використовуйте елемент керування кореневим сертифікатом бази даних під спадним списком, щоб завантажити кореневий сертифікат для цього параметра.

Коли ви завантажуєте кореневий сертифікат (за потреби) та натискаєте кнопку «Продовжити» , інструмент налаштування HDS перевіряє TLS-з’єднання із сервером бази даних. Інструмент також перевіряє особу, яка підписала сертифікат, і назву вузла, якщо це можливо. Якщо тест не вдається, інструмент показує повідомлення про помилку, що описує проблему. Ви можете вибрати, чи ігнорувати помилку, і продовжити налаштування. (Через різницю в підключенні вузли HDS можуть встановити TLS-з’єднання, навіть якщо машина HDS Setup Tool не може успішно його протестувати.)

13

На сторінці «Системні журнали» налаштуйте сервер Syslogd:

Введіть URL-адресу сервера системного журналу.

Якщо сервер не може бути розпізнаний за допомогою DNS з вузлів вашого кластера HDS, використовуйте IP-адресу в URL-адресі.

Приклад:
udp://10.92.43.23:514 вказує на ведення журналу на хості Syslogd 10.92.43.23 на порту UDP 514.
Якщо ви налаштували свій сервер на використання шифрування TLS, перевірте Чи налаштовано ваш сервер на узгодження/підтвердження TLS?.

Якщо ви встановите цей прапорець, переконайтеся, що ви ввели URL-адресу TCP, таку як tcp://10.92.43.23:514, і завантажили кореневий сертифікат системного журналу.
У розкривному списку Вибрати завершення запису системного журналу виберіть відповідний параметр для вашого ISO-файлу: Для Graylog та Rsyslog TCP використовується символ «choose» або «Newline».
- Нульовий байт -- \x00
- Новий рядок -- \n— Виберіть цей варіант для Graylog та Rsyslog TCP.
Клацніть Продовжити.

14

(Необов’язково) Ви можете змінити значення за замовчуванням для деяких параметрів підключення до бази даних у Додаткові налаштування. Зазвичай, цей параметр єдиний, який ви можете захотіти змінити:

app_datasource_connection_pool_maxSize: 10

15

Натисніть Продовжити на екрані Скинути пароль облікового запису служби.

Паролі облікових записів служби мають термін дії дев'ять місяців. Використовуйте цей екран, коли термін дії ваших паролів наближається до закінчення терміну дії або ви хочете скинути їх, щоб зробити недійсними попередні ISO-файли.

16

Натисніть Завантажити ISO-файл. Збережіть файл у місці, яке легко знайти.

17

Зробіть резервну копію ISO-файлу на вашій локальній системі.

Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.

18

Щоб закрити інструмент налаштування, введіть CTRL+C.

Що далі

Зробіть резервну копію ISO-файлу конфігурації. Він потрібен для створення додаткових вузлів для відновлення або для внесення змін до конфігурації. Якщо ви втратите всі копії ISO-файлу, ви також втратите головний ключ. Відновлення ключів з бази даних PostgreSQL або Microsoft SQL Server неможливе.

У нас ніколи немає копії цього ключа, і ми не зможемо допомогти, якщо ви його втратите.

Встановлення OVA хоста HDS

Використайте цю процедуру для створення віртуальної машини з OVA-файлу.

1	Використайте клієнт VMware vSphere на вашому комп'ютері для входу до віртуального хоста ESXi.
2	Виберіть Файл > Розгорнути шаблон OVF.
3	У майстрі вкажіть розташування файлу OVA, який ви завантажили раніше, а потім натисніть кнопку Далі.
4	На сторінці Виберіть ім'я та папку введіть ім'я віртуальної машини для вузла (наприклад, "HDS_Node_1"), виберіть розташування, де може знаходитися розгортання вузла віртуальної машини, а потім натисніть Далі.
5	На сторінці Виберіть обчислювальний ресурс виберіть цільовий обчислювальний ресурс і натисніть Далі. Виконується перевірка валідації. Після завершення з'являться деталі шаблону.
6	Перевірте дані шаблону та натисніть Далі.
7	Якщо вас попросять вибрати конфігурацію ресурсів на сторінці Конфігурація, натисніть 4 ЦП, а потім натисніть Далі.
8	На сторінці Вибір сховища натисніть Далі, щоб прийняти формат диска за замовчуванням і політику сховища віртуальної машини.
9	На сторінці Вибір мереж виберіть параметр мережі зі списку записів, щоб забезпечити потрібне підключення до віртуальної машини.
10	На сторінці Налаштування шаблону налаштуйте такі параметри мережі: Ім’я хоста— Введіть повне доменне ім’я (ім’я хоста та домен) або ім’я хоста з одного слова для вузла. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509. Щоб забезпечити успішну реєстрацію в хмарі, використовуйте лише малі символи в повному домені (FQDN) або імені хоста, яке ви встановили для вузла. Капіталізація наразі не підтримується. Загальна довжина повного доменного імені (FQDN) не повинна перевищувати 64 символів. IP-адреса— Введіть IP-адресу внутрішнього інтерфейсу вузла. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується. Маска— Введіть адресу маски підмережі у крапково-десятковому форматі. Наприклад, 255.255.255.0. Шлюз— Введіть IP-адресу шлюзу. Шлюз – це мережевий вузол, який служить точкою доступу до іншої мережі. DNS-сервери— Введіть список DNS-серверів, розділених комами, які обробляють перетворення доменних імен у числові IP-адреси. (Дозволено до 4 записів DNS.) NTP-сервери— Введіть NTP-сервер вашої організації або інший зовнішній NTP-сервер, який можна використовувати у вашій організації. NTP-сервери за замовчуванням можуть працювати не для всіх підприємств. Ви також можете використовувати список, розділений комами, щоб ввести кілька NTP-серверів. Розгорніть усі вузли в одній підмережі або VLAN, щоб усі вузли кластера були доступні для клієнтів у вашій мережі для адміністративних цілей. За бажанням, ви можете пропустити налаштування мережевих параметрів і виконати кроки, описані в розділі Налаштування віртуальної машини гібридної безпеки даних, щоб налаштувати параметри з консолі вузла. Можливість налаштування мережевих параметрів під час розгортання OVA була протестована з ESXi 7.0 та 8.0. Ця опція може бути недоступна в попередніх версіях.
11	Клацніть правою кнопкою миші вузол віртуальної машини та виберіть Живлення > Увімкнення живлення. Програмне забезпечення Hybrid Data Security інстальовано як гостьову систему на хості віртуальної машини. Тепер ви готові увійти в консоль і налаштувати вузол. Поради щодо усунення несправностей Можлива затримка в кілька хвилин перед запуском контейнерів вузлів. Під час першого завантаження на консолі з’являється повідомлення брандмауера мосту, під час якого ви не можете ввійти.

Налаштування віртуальної машини гібридної безпеки даних

Використайте цю процедуру, щоб уперше ввійти до консолі віртуальної машини вузла гібридної безпеки даних і встановити облікові дані для входу. Ви також можете використовувати консоль для налаштування мережевих параметрів вузла, якщо ви не налаштували їх під час розгортання OVA.

1	У клієнті VMware vSphere виберіть віртуальну машину вузла Hybrid Data Security та перейдіть на вкладку Консоль. Віртуальна машина завантажується, і з'являється запит на вхід. Якщо запит на вхід не відображається, натисніть Enter.
2	Використовуйте наступні логін та пароль за замовчуванням для входу та зміни облікових даних: Вхід: `admin` Пароль: `ciscosystems` Оскільки ви вперше входите у свою віртуальну машину, вам потрібно змінити пароль адміністратора.
3	Якщо ви вже налаштували параметри мережі в розділі Встановлення OVA хоста HDS, пропустіть решту цієї процедури. В іншому випадку, у головному меню виберіть опцію Редагувати конфігурацію.
4	Налаштуйте статичну конфігурацію з IP-адресою, маскою, шлюзом та інформацією про DNS. Ваш вузол повинен мати внутрішню IP-адресу та DNS-ім'я. DHCP не підтримується.
5	(Необов’язково) За потреби змініть ім’я хоста, домен або NTP-сервер(и) відповідно до політики вашої мережі. Вам не потрібно встановлювати домен таким, щоб він відповідав домену, який ви використовували для отримання сертифіката X.509.
6	Збережіть конфігурацію мережі та перезавантажте віртуальну машину, щоб зміни набули чинності.

Завантажте та змонтуйте ISO-файл конфігурації HDS

Використайте цю процедуру для налаштування віртуальної машини з ISO-файлу, створеного за допомогою інструмента налаштування HDS.

Перш ніж почати

Оскільки ISO-файл містить головний ключ, його слід надавати лише за принципом «необхідності» для доступу віртуальних машин гібридної безпеки даних та будь-яких адміністраторів, яким може знадобитися внести зміни. Переконайтеся, що лише ці адміністратори мають доступ до сховища даних.

1

Завантажте ISO-файл з вашого комп'ютера:

У лівій навігаційній панелі клієнта VMware vSphere натисніть на сервер ESXi.
У списку Обладнання на вкладці «Конфігурація» натисніть «Сховище».
У списку сховищ даних клацніть правою кнопкою миші на сховищі даних для ваших віртуальних машин і виберіть Огляд сховища даних.
Натисніть на значок «Завантажити файл», а потім натисніть Завантажити файл.
Перейдіть до місця, куди ви завантажили ISO-файл на свій комп’ютер, і натисніть Відкрити.
Натисніть Так, щоб прийняти upload/download попередження про операцію та закрийте діалогове вікно сховища даних.

2

Змонтуйте ISO-файл:

У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування).
Натисніть кнопку «ОК » , щоб прийняти попередження про обмежені можливості редагування.
Натисніть CD/DVD Drive 1, виберіть опцію монтування з ISO-файлу сховища даних і перейдіть до місця, куди ви завантажили ISO-файл конфігурації.
Перевірте Підключено та Підключитися при ввімкненні живлення.
Збережіть зміни та перезавантажте віртуальну машину.

Що далі

Якщо цього вимагає ваша ІТ-політика, ви можете додатково відмонтувати ISO-файл після того, як усі ваші вузли отримають зміни конфігурації. Див. (Додатково) Відмонтування ISO після налаштування HDS для отримання детальної інформації.

Налаштування вузла HDS для інтеграції проксі

Якщо для мережного середовища потрібен проксі-сервер, скористайтеся цією процедурою, щоб указати тип проксі-сервера, який потрібно інтегрувати з hybrid Data Security. Якщо ви виберете прозорий проксі-сервер перевірки або явний проксі-сервер HTTPS, ви можете використовувати інтерфейс вузла для завантаження та встановлення кореневого сертифіката. Ви також можете перевірити проксі-з'єднання з інтерфейсу та усунути будь-які потенційні проблеми.

Перш ніж почати

Дивіться Підтримка проксі для огляду підтримуваних параметрів проксі.
Вимоги до проксі-сервера

1	Введіть URL-адресу налаштування вузла HDS `https://[HDS Node IP or FQDN]/setup` у веббраузері, введіть облікові дані адміністратора, які ви налаштували для вузла, а потім натисніть Увійти.
2	Перейдіть до Надійного магазину та проксі-сервера, а потім виберіть параметр: Без проксі-сервера— Параметр за замовчуванням перед інтеграцією проксі-сервера. Оновлення сертифіката не потрібне. Прозорий неінспекційний проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера та не повинні потребувати жодних змін для роботи з неінспекційним проксі-сервером. Оновлення сертифіката не потрібне. Прозорий інспектуючий проксі-сервер— Вузли не налаштовані на використання певної адреси проксі-сервера. У розгортанні гібридної безпеки даних не потрібні зміни конфігурації HTTPS, однак вузлам HDS потрібен кореневий сертифікат, щоб вони довіряли проксі-серверу. Інспекційні проксі зазвичай використовуються ІТ-серверами для забезпечення дотримання політик, на яких веб-сайтах можна відвідувати та які типи вмісту заборонені. Цей тип проксі розшифровує весь ваш трафік (навіть HTTPS). Явний проксі-сервер— За допомогою явного проксі-сервера ви повідомляєте клієнту (вузлам HDS), який проксі-сервер використовувати, і ця опція підтримує кілька типів автентифікації. Після вибору цього параметра необхідно ввести такі відомості: Проксі IP/FQDN— Адреса, яку можна використовувати для зв’язку з проксі-машиною. Порт проксі-сервера— Номер порту, який проксі-сервер використовує для прослуховування проксі-трафіку. Проксі-протокол— Виберіть http (переглядає та контролює всі запити, отримані від клієнта) або https (надає канал до сервера, а клієнт отримує та перевіряє сертифікат сервера). Виберіть варіант, виходячи з того, що підтримує ваш проксі-сервер. Тип автентифікації— Виберіть один із наведених нижче типів автентифікації: Немає— Подальша автентифікація не потрібна. Доступно для проксі HTTP або HTTPS. Базовий— Використовується для того, щоб HTTP-агент користувача надавав ім'я користувача та пароль під час здійснення запиту. Використовує кодування Base64. Доступно для проксі HTTP або HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Дайджест— Використовується для підтвердження облікового запису перед надсиланням конфіденційної інформації. Застосовує хеш-функцію до імені користувача та пароля перед відправкою по мережі. Доступно лише для проксі HTTPS. Якщо вибрати цей варіант, необхідно також ввести ім'я користувача і пароль. Виконайте наступні кроки для прозорої перевірки проксі-сервера, явного HTTP-проксі з базовою автентифікацією або явного проксі-сервера HTTPS.
3	Клацніть « Завантажити кореневий сертифікат» або «Завершити сертифікатсутності», а потім перейдіть до вибору кореневого сертифіката для проксі-сервера. Сертифікат завантажено, але ще не інстальовано, оскільки для встановлення сертифіката потрібно перезавантажити вузол. Клацніть стрілку шеврона біля імені емітента сертифіката, щоб отримати докладніші відомості, або натисніть кнопку Видалити , якщо ви припустилися помилки та хочете повторно завантажити файл.
4	Натисніть кнопку Перевірити підключення до проксі, щоб перевірити підключення до мережі між вузлом і проксі-сервером. Якщо тест підключення не пройшов, ви побачите повідомлення про помилку, у якому вказано причину та способи усунення проблеми. Якщо ви бачите повідомлення про те, що зовнішня роздільна здатність DNS не була успішною, вузол не зміг дістатися до DNS-сервера. Ця умова очікується в багатьох явних конфігураціях проксі. Ви можете продовжити налаштування, і вузол працюватиме в режимі блокування зовнішнього DNS-доступу. Якщо ви вважаєте, що це помилка, виконайте ці кроки, а потім перегляньте статтю Вимкнення режиму розв’язання заблокованих зовнішніх DNS-адрес.
5	Після того, як тест з'єднання пройде, для явного проксі-сервера, встановленого лише на https, увімкніть перемикач до Маршрутизація всіх запитів порту 443/444 https з цього вузла через явний проксі. Для набрання чинності цим параметром потрібно 15 секунд.
6	Натисніть кнопку Інсталювати всі сертифікати в надійний магазин (відображається для проксі-сервера HTTPS відвертої перевірки або прозорого проксі-сервера для перевірки) або Перезавантажити (відображається для явного проксі-сервера HTTP), прочитайте запит і натисніть кнопку Інсталювати , якщо все готово. Вузол перезавантажується протягом декількох хвилин.
7	Після перезавантаження вузла увійдіть знову, якщо потрібно, а потім відкрийте сторінку Огляду , щоб перевірити перевірки підключення, щоб переконатися, що всі вони в зеленому стані. Перевірка проксі-з'єднання лише тестує субдомен webex.com. Якщо виникають проблеми з підключенням, поширеною проблемою є те, що деякі хмарні домени, перелічені в інструкціях з інсталяції, блокуються на проксі-сервері.

Зареєструйте перший вузол у кластері

Це завдання бере універсальний вузол, створений у розділі Налаштування віртуальної машини гібридної безпеки даних, реєструє вузол у хмарі Webex і перетворює його на вузол гібридної безпеки даних.

Під час реєстрації першого вузла створюється кластер, до якого призначається цей вузол. Кластер містить один або декілька вузлів, розгорнутих для забезпечення резервування.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці, що відкриється, натисніть Додати ресурс.
5	У першому полі картки «Створити новий кластер » введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
6	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
7	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
8	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex.
9	Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.

Створення та реєстрація додаткових вузлів

Щоб додати додаткові вузли до кластера, просто створіть додаткові віртуальні машини та змонтуйте той самий ISO-файл конфігурації, а потім зареєструйте вузол. Ми рекомендуємо мати щонайменше 3 вузли.

Перш ніж почати

Після початку реєстрації вузла ви повинні завершити її протягом 60 хвилин, інакше вам доведеться починати спочатку.
Переконайтеся, що всі блокувальники спливаючих вікон у вашому браузері вимкнено або що ви дозволили виняток для admin.webex.com.

1	Створіть нову віртуальну машину з OVA, повторивши кроки, описані в Встановлення OVA хоста HDS.
2	Налаштуйте початкову конфігурацію на новій віртуальній машині, повторивши кроки, описані в Налаштування гібридної віртуальної машини безпеки даних.
3	На новій віртуальній машині повторіть кроки, описані в розділі Завантаження та монтування ISO-файлу конфігурації HDS.
4	Якщо ви налаштовуєте проксі-сервер для розгортання, повторіть кроки, описані в розділі Налаштування вузла HDS для інтеграції проксі-сервера, за потреби для нового вузла.
5	Зареєструйте вузол. У меню ліворуч на екрані виберіть https://admin.webex.com«Послуги». У розділі Гібрид знайдіть картку Гібридна безпека даних і натисніть Переглянути всі. З’явиться сторінка «Ресурси гібридної безпеки даних». Новостворений кластер з’явиться на сторінці Ресурси. Клацніть на кластері, щоб переглянути вузли, призначені кластеру. Натисніть Додати вузол у правій частині екрана. Введіть внутрішню IP-адресу або повне доменне ім'я (FQDN) вашого вузла та натисніть Додати. Відкриється сторінка з повідомленням про те, що ви можете зареєструвати свій вузол у хмарі Webex. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати своїй організації дозволи на доступ до вашого вузла. Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрацію завершено» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. Натисніть посилання або закрийте вкладку, щоб повернутися на сторінку безпеки гібридних даних Центру партнерів. Спливаюче повідомленняВузол додано також відображається внизу екрана в Центрі партнерів. Ваш вузол зареєстровано.

Що далі

Щоб створити додаткові кластери, увійдіть до Центру партнерів і натисніть Сервіси > Гібридна безпека даних > Переглянути всі > Додати кластер. Виконайте кроки, описані в розділі вище, щоб додати перший вузол до додаткового кластера або кластерів.

Керування організаціями орендарів у багатоклієнтській гібридній безпеці даних

Активуйте багатокористувацьку HDS у Центрі партнерів

Це завдання гарантує, що всі користувачі організацій клієнтів зможуть почати використовувати HDS для локальних ключів шифрування та інших служб безпеки.

Перш ніж почати

Переконайтеся, що ви завершили налаштування кластера Multi-Tenant HDS з необхідною кількістю вузлів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування».
4	Натисніть Активувати HDS на картці Стан HDS.

Додавання організацій-орендарів у Центрі партнерів

У цьому завданні ви призначаєте організації клієнтів до вашого гібридного кластера безпеки даних.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	Перейдіть на вкладку Призначені клієнти. Вкладка Призначені клієнти не відображатиметься, доки ви не створите кластер.
5	Натисніть Додати клієнтів.
6	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
7	Натисніть Додати, клієнта буде додано до кластера.
8	Повторіть кроки з 5 по 7, щоб додати кількох клієнтів до кластера.
9	Після додавання клієнтів натисніть «Готово» внизу екрана. Додані клієнти будуть синхронізовані між усіма доступними кластерами.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Перш ніж почати

Призначте клієнтів, як зазначено в Додавання організацій-орендарів у Центрі партнерів. Запустіть інструмент налаштування HDS, щоб завершити процес налаштування для щойно доданих організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його. Забезпечте підключення до вашої бази даних для керування CMK.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Створити CMK для всіх організацій або Створити CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб створити CMK для всіх щойно доданих організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Створити CMK, щоб створити CMK для всіх щойно доданих організацій. Натисніть поруч зі статусом очікування керування CMK для певної організації в таблиці та натисніть Створити CMK, щоб створити CMK для цієї організації.
12	Після успішного створення CMK статус у таблиці зміниться з «Керування CMK очікується» на «Керується CMK».
13	Якщо створення CMK не вдалося, з’явиться повідомлення про помилку.

Видалити організації-орендарі

Перш ніж почати

Після видалення користувачі організацій клієнтів не зможуть використовувати HDS для своїх потреб шифрування та втратять усі існуючі профілі. Перш ніж видаляти організації клієнтів, зверніться до свого партнера Cisco або менеджера з обслуговування клієнтів.

1	Увійдіть у https://admin.webex.com.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть Переглянути всі.
4	На сторінці, що відкриється, перейдіть на вкладку Призначені клієнти.
5	Зі списку відображених організацій клієнтів натисніть праворуч від організації клієнта, яку потрібно видалити, а потім натисніть Видалити з кластера.

Що далі

Завершіть процес видалення, скасувавши CMK організацій-клієнтів, як зазначено в Скасування CMK орендарів, видалених з HDS.

Скасувати CMK орендарів, видалених з HDS.

Перш ніж почати

Видаліть клієнтів, як детально описано в Видалення організацій-орендарів. Запустіть засіб налаштування HDS, щоб завершити процес видалення видалених організацій клієнтів.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080".
6	Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до localhost. За допомогою веббраузера перейдіть на локальний хост, `http://127.0.0.1:8080`, і введіть ім'я користувача admin для Центру партнерів у запиті. Інструмент використовує цей перший запис імені користувача, щоб встановити відповідне середовище для цього облікового запису. Після цього інструмент відображає стандартне вікно входу.
7	Коли з’явиться відповідний запит, введіть свої облікові дані адміністратора для входу в Центр партнерів, а потім натисніть Увійти, щоб надати доступ до необхідних служб для гібридної безпеки даних.
8	На сторінці огляду інструмента налаштування натисніть Початок роботи.
9	На сторінці Імпорт ISO натисніть Так.
10	Виберіть свій ISO-файл у браузері та завантажте його.
11	Перейдіть на вкладку Керування CMK орендаря, де ви знайдете три такі способи керування CMK орендаря. Скасувати CMK для всіх організацій або Скасувати CMK – Натисніть цю кнопку на банері у верхній частині екрана, щоб скасувати CMK усіх видалених організацій. Натисніть кнопку Керування CMK у правій частині екрана та натисніть Скасувати CMK, щоб скасувати CMK усіх видалених організацій. Натисніть біля статусу CMK для скасування для певної організації в таблиці та натисніть Скасувати CMK, щоб скасувати CMK для цієї конкретної організації.
12	Після успішного скасування CMK організація клієнта більше не відображатиметься в таблиці.
13	Якщо скасування CMK не вдасться, з’явиться повідомлення про помилку.

Перевірте розгортання гібридної безпеки даних

Використовуйте цю процедуру для тестування сценаріїв шифрування багатоклієнтської гібридної безпеки даних.

Перш ніж почати

Налаштуйте розгортання гібридної безпеки даних для кількох клієнтів.
Переконайтеся, що у вас є доступ до системного журналу, щоб перевірити, чи ключові запити передаються до вашого розгортання багатоклієнтської гібридної безпеки даних.

1

Ключі для певного простору встановлює його творець. Увійдіть у застосунок Webex як один з користувачів організації клієнта, а потім створіть простір.

Якщо деактивувати розгортання гібридної безпеки даних, вміст у просторах, створених користувачами, більше не буде доступним після заміни кешованих клієнтом копій ключів шифрування.

2

Надсилайте повідомлення до нового простору.

3

Перевірте вивід системного журналу, щоб переконатися, що запити ключів передаються до вашого розгортання гібридної безпеки даних.

Якщо користувач щойно доданої організації клієнта виконує будь-яку дію, ідентифікатор організації з’явиться в журналах, і це можна буде використовувати для перевірки того, чи використовує організація Multi-Tenant HDS. Перевірте значення kms.data.orgId у системних журналах.

Щоб перевірити, чи користувач спочатку встановлює безпечний канал до KMS, відфільтруйте за kms.data.method=create та kms.data.type=EPHEMERAL_KEY_COLLECTION:

Ви маєте знайти запис, подібний до наступного (ідентифікатори скорочені для зручності читання):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує наявний ключ від KMS, відфільтруйте за kms.data.method=retrieve та kms.data.type=KEY:

Ви повинні знайти запис, наприклад:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового ключа KMS, відфільтруйте за kms.data.method=create та kms.data.type=KEY_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Щоб перевірити, чи користувач запитує створення нового об'єкта ресурсу KMS (KRO), коли створюється простір або інший захищений ресурс, відфільтруйте за kms.data.method=create та kms.data.type=RESOURCE_COLLECTION:

Ви повинні знайти запис, наприклад:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Інтерпретація журналів HDS та розуміння міток агентів

Журнали HDS надають детальну інформацію щодо запитів KMS. Ці журнали містять різні поля, які допомагають визначити характер запиту та пов’язану з ним особу. Розуміння цих полів є важливим для правильної інтерпретації діяльності та надійних внутрішніх операцій.

Термінологія

Для забезпечення ясності під час перегляду журналів HDS важливо розуміти такі терміни:

Строк	Визначення
Обліковий запис служби	Ідентифікатор служби, який дозволяє службам Webex безпечно виконувати авторизовані дії.
Оператор	Ідентифікатор сервісної сутності або сервісного облікового запису, що використовується для виконання автоматизованих операцій у середовищі HDS.
Мітка агента	Тег, що міститься в журналах HDS, який ідентифікує конкретне джерело та тип вхідного запиту, що дозволяє проводити ефективний аудит контролю доступу.
Делегований доступ	Авторизований обліковий запис служби, що робить запит для певного користувачав межах дозволів цього користувача. Відображається як запит на делегування: `agent -> userid`.

Термін «Агент» у цьому контексті стосується саме ідентифікаторів служб HDS. Вони не пов’язані з агентами на базі штучного інтелекту, що використовуються в інших функціях Webex.

Запит обслуговується лише коли він походить з:

автентифікований користувач у вашій організації, або
обліковий запис служби, який знаходиться у вашій організації та авторизований нею.

Огляд полів журналу

Поле	Що це являє собою
Позначка часу	Дата та час операції.
kms.data.method	Виконана операція KMS (наприклад, отримання).
kms.data.orgld	Ідентифікатор організації.
kms.data.httpUserAgent	Клієнт або служба, що робить запит.
WEBEX_Ідентифікатор відстеження	Унікальний ідентифікатор відстеження для запиту.
kms.data.uriHost / kms.data.uri	Хост і ресурс, на які спрямований запит.
kms.data.userld	Ідентифікатор, що виконує запит, включаючи мітку агента.
kms.response.success	Вказує, чи запит було виконано успішно.

Типи запитів – короткий довідник

Тег у журналі	Мітка агента	Що це являє собою	Типові операції
Тип користувача: агент користувача	User Agent	Довірений обліковий запис служби, пов’язаний із робочим процесом користувача, що діє в межах вашої організації.	Creating/managing ключі для користувацького процесу.
o-агент <id> -> ідентифікатор користувача <id>	Агент організації	Обліковий запис довіреної служби на рівні організації з делегованим доступом.	Вилучення даних Webex відповідальним за дотримання вимог, інтеграція календарів.
c-агент <id> -> ідентифікатор користувача <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит для певного користувача.	Сканування на віруси, попередній перегляд контенту, транскрипти.
c-агент <id>	Хмарний агент	Сервіс Webex, що виконує делегований запит.	Екологічна освіта та освіта (ECDHE) / ключі сеансу.
UUID кінцевого користувача	-	Автентифікований кінцевий користувач взаємодіє з HDS.	Користувач, який отримує свій власний ключ.

Типи запитів – детальніше

Мітки агентів класифікують джерело запиту та допомагають визначити відповідні засоби контролю доступу. У наведених нижче прикладах демонструється кілька типів запитів та пов’язані з ними мітки агентів.

Агент користувача (userAgent):

Це довірені облікові записи служби Webex, пов’язані з певними робочими процесами користувачів і обмежені організацією клієнта. Зазвичай вони використовуються, коли служба створює та керує ключами від імені робочого процесу користувача.

Зразок журналу:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент користувача (userAgent) виконує операції збору ресурсів для служби Webex.
Організаційний агент (o-агент):

Ці довірені облікові записи служби Webex уповноважені виконувати делеговані операції від імені користувачів у HDS. Ці облікові записи, що обмежені організацією клієнта, виконують операції на рівні організації. Ця функція підтримує кілька функцій, таких як надання співробітникам з дотримання вимог можливості пошуку та вилучення даних зв'язку Webex, що забезпечує відповідність організації нормативним вимогам, стандартам безпеки та конфіденційності даних.

Зразок журналу:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як агент організації (o-agent 9[~]c) отримує ключ від імені користувача (4[~]b) для служби Webex.
Хмарний агент (c-agent):
Ці довірені облікові записи служби Webex мають право виконувати операції на HDS через делегований доступ від імені користувача. Вони підтримують важливі функції, такі як записи після зустрічей, стенограми, сканування на наявність шкідливого програмного забезпечення та попередній перегляд файлів, що покращують загальний користувацький досвід.

Хоча хмарних агентів можна вимкнути, змінивши ISO-образ, клієнти повинні знати, що це призведе до втрати функцій, таких як записи після зустрічей, стенограми, попередній перегляд файлів та автоматичне сканування на наявність шкідливого програмного забезпечення в Webex App Spaces. Для отримання додаткової інформації див. розділ Вимкнення хмарних агентів.

Зразок журналу:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ключовий індикатор: У зразку журналу показано, як хмарний агент (c-agent b[~]c) отримує ключ вмісту від імені користувача (9[~]c).

Пряма взаємодія кінцевого користувача:

Автентифікований користувач, який безпосередньо взаємодіє з HDS.

Зразок журналу:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключовий індикатор: У зразку журналу показано кінцевого користувача (c[~]f), який отримує ключ та безпосередньо взаємодіє з HDS.

Моніторинг стану безпеки гібридних даних

Індикатор стану в Центрі партнерів показує, чи все гаразд із розгортанням багатоклієнтської гібридної безпеки даних. Для більш проактивного отримання сповіщень підпишіться на сповіщення електронною поштою. Ви отримуватимете сповіщення про тривоги, що впливають на обслуговування, або оновлення програмного забезпечення.

1	У Центрі партнеріввиберіть Послуги у меню ліворуч на екрані.
2	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Редагувати налаштування». З’явиться сторінка «Налаштування гібридної безпеки даних».
3	У розділі «Сповіщення електронною поштою» введіть одну або кілька адрес електронної пошти, розділених комами, і натисніть Enter.

Керуйте розгортанням HDS

Керування розгортанням HDS

Використовуйте описані тут завдання для керування розгортанням гібридної безпеки даних.

Встановити розклад оновлення кластера

Оновлення програмного забезпечення для гібридної безпеки даних виконуються автоматично на рівні кластера, що гарантує, що всі вузли завжди використовують одну й ту саму версію програмного забезпечення. Оновлення виконуються відповідно до графіка оновлення кластера. Коли оновлення програмного забезпечення стає доступним, ви маєте можливість оновити кластер вручну до запланованого часу оновлення. Ви можете встановити певний графік оновлення або скористатися розкладом за замовчуванням 3:00 AM Daily Сполучені Штати: America/Los Анджелес. Ви також можете відкласти майбутнє оновлення, якщо це необхідно.

Щоб налаштувати розклад оновлення:

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Налаштувати.
4	На сторінці «Ресурси гібридної безпеки даних» виберіть кластер.
5	Натисніть на вкладку Налаштування кластера.
6	На сторінці «Параметри кластера» в розділі «Графік оновлення» виберіть час і часовий пояс для розкладу оновлення. Примітки Під часовим поясом відображається наступна доступна дата та час оновлення. За потреби ви можете відкласти оновлення на наступний день, натиснувши Відкласти на 24 години.

Зміна конфігурації вузла

Іноді вам може знадобитися змінити конфігурацію вузла гібридної безпеки даних з такої причини, як:

Зміна сертифікатів x.509 через закінчення терміну дії або інші причини.

Ми не підтримуємо зміну доменного імені CN сертифіката. Домен повинен відповідати початковому домену, який використовується для реєстрації кластера.
Оновлення параметрів бази даних для зміни на репліку бази даних PostgreSQL або Microsoft SQL Server.

Ми не підтримуємо перенесення даних з PostgreSQL до Microsoft SQL Server або навпаки. Щоб змінити середовище бази даних, розпочніть нове розгортання гібридної системи захисту даних.
Створення нової конфігурації для підготовки нового центру обробки даних.

Крім того, з метою безпеки Hybrid Data Security використовує паролі службових облікових записів, термін дії яких становить дев'ять місяців. Після того, як інструмент налаштування HDS генерує ці паролі, ви розгортаєте їх на кожному з ваших вузлів HDS у файлі конфігурації ISO. Коли паролі вашої організації наближаються до закінчення терміну дії, ви отримуєте повідомлення від команди Webex про скидання пароля для облікового запису вашого комп'ютера. (Електронний лист містить текст "Використовуйте API облікового запису машини для оновлення пароля.") Якщо термін дії ваших паролів ще не закінчився, інструмент надає вам два варіанти:

М’яке скидання— Старий та новий паролі діятимуть до 10 днів. Використовуйте цей період, щоб поступово замінити файл ISO на вузлах.
Жорстке скидання— Старі паролі негайно перестають працювати.

Якщо термін дії ваших паролів закінчується без скидання, це впливає на вашу службу HDS, вимагаючи негайного жорсткого скидання та заміни файлу ISO на всіх вузлах.

Використовуйте цю процедуру, щоб створити новий файл конфігурації ISO і застосувати його до вашого кластера.

Перш ніж почати

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати доступ до нього, запустіть Docker на цьому комп 'ютері. Для процесу налаштування потрібні облікові дані облікового запису Центру партнерів із повними правами адміністратора партнера.

Якщо у вас немає ліцензії Docker Desktop, ви можете скористатися Podman Desktop для запуску інструмента налаштування HDS для кроків 1.a – 1.e у наведеній нижче процедурі. Див. Запуск інструменту налаштування HDS за допомогою Podman Desktop для отримання детальної інформації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker у 1.e. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Щоб створити нову конфігурацію, вам потрібна копія поточного файла конфігурації ISO. ISO містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. ISO потрібен під час внесення змін у конфігурацію, включаючи облікові дані бази даних, оновлення сертифікатів або зміни в політиці авторизації.

1	Використовуючи Docker на локальному комп 'ютері, запустіть інструмент налаштування HDS. У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `docker rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати. Щоб увійти до реєстру Docker-зображень, введіть наступне: `docker login -u hdscustomersro` На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `docker pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Обов 'язково потягніть найновіший інструмент налаштування для цієї процедури. Версії інструмента, створені до 22 лютого 2018 року, не мають екранів скидання пароля. Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Використовуйте браузер для підключення до localhost, `http://127.0.0.1:8080`. Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста. Коли з’явиться відповідний запит, введіть свої облікові дані для входу в Центр партнерів, а потім натисніть Прийняти, щоб продовжити. Імпортувати поточний файл конфігурації ISO. Дотримуйтеся вказівок, щоб завершити роботу інструменту та завантажити оновлений файл. Щоб закрити інструмент налаштування, введіть `CTRL+C`. Створіть резервну копію оновленого файлу в іншому центрі обробки даних.
2	Якщо у вас запущено лише один вузол HDS, створіть нову віртуальну машину вузла Hybrid Data Security та зареєструйте її за допомогою нового ISO-файлу конфігурації. Для отримання детальніших інструкцій див. Створення та реєстрація додаткових вузлів. Встановіть HDS-хост OVA. Налаштуйте віртуальну машину HDS. Змонтувати оновлений файл конфігурації. Зареєструйте новий вузол у Центрі партнерів.
3	Для існуючих вузлів HDS, у яких запущено старий файл конфігурації, змонтуйте файл ISO. Виконайте наступну процедуру на кожному вузлі по черзі, оновлюючи кожен вузол перед вимкненням наступного вузла: Вимкніть віртуальну машину. У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та натисніть Edit Settings (Редагувати налаштування). Натисніть `CD/DVD Drive 1`, виберіть опцію монтування з ISO-файлу та перейдіть до місця, куди ви завантажили новий ISO-файл конфігурації. Перевірте підключення при увімкненому живленні. Заощаджуйте зміни та енергію на віртуальній машині.
4	Повторіть крок 3, щоб замінити конфігурацію на кожному вузлі, який виконує стару конфігурацію.

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Коли ви реєструєте вузол або перевіряєте конфігурацію проксі-сервера вузла, процес перевіряє пошук DNS і підключення до хмари Cisco Webex. Якщо DNS-серверу вузла не вдається розпізнати загальнодоступні імена DNS, вузол автоматично переходить у режим блокування зовнішньої роздільної здатності DNS.

Якщо ваші вузли можуть вирішувати загальнодоступні імена DNS через внутрішні DNS-сервери, ви можете вимкнути цей режим, повторивши тест проксі-з'єднання на кожному вузлі.

Перш ніж почати

Переконайтеся, що ваші внутрішні DNS-сервери можуть розпізнавати загальнодоступні імена DNS і що ваші вузли можуть зв'язуватися з ними.

1	У браузері відкрийте інтерфейс вузла гібридної безпеки даних (IP-адреса/налаштування), наприклад, введіть облікові дані адміністратора, https://192.0.2.0/setup), які настроєно для вузла, а потім натисніть кнопку Увійти.
2	Перехід до розділу Огляд (сторінка за замовчуванням). Якщо ввімкнено, для параметра "Заблокована зовнішня роздільна здатність DNS" встановлено значення "Так".
3	Перейдіть на сторінку Надійний магазин і проксі .
4	Натисніть Перевірити підключенняпроксі-сервера. Якщо ви бачите повідомлення про те, що зовнішнє дозвіл DNS не було успішним, вузол не зміг дістатися до DNS-сервера і залишиться в цьому режимі. В іншому випадку, після того, як ви перезавантажите вузол і повернетеся на сторінку огляду , заблоковане зовнішнє дозвіл DNS має бути встановлено на "ні".

Що далі

Повторіть тест проксі-з'єднання на кожному вузлі в кластері гібридної безпеки даних.

Видалити вузол

Використайте цю процедуру, щоб видалити вузол гібридної безпеки даних із хмари Webex. Після видалення вузла з кластера видаліть віртуальну машину, щоб запобігти подальшому доступу до ваших даних безпеки.

1

Використайте клієнт VMware vSphere на вашому комп'ютері, щоб увійти до віртуального хоста ESXi та вимкнути віртуальну машину.

2

Видалити вузол:

Увійдіть до Центру партнерів і виберіть Послуги.
На картці «Гібридна безпека даних» натисніть «Переглянути всі » , щоб відобразити сторінку «Ресурси гібридної безпеки даних».
Виберіть свій кластер, щоб відобразити його панель «Огляд».
Клацніть на вузол, який потрібно видалити.
Натисніть Скасувати реєстрацію цього вузла на панелі, що з’явиться праворуч
Ви також можете скасувати реєстрацію вузла, натиснувши … праворуч від вузла та вибравши Скасувати реєстрацію вузла.

3

У клієнті vSphere видаліть віртуальну машину. (У лівій навігаційній області клацніть правою кнопкою миші на віртуальній машині та виберіть Видалити.)

Якщо ви не видаляєте віртуальну машину, не забудьте відмонтувати ISO-файл конфігурації. Без ISO-файлу ви не можете використовувати віртуальну машину для доступу до своїх даних безпеки.

Аварійне відновлення з використанням резервного центру обробки даних

Найважливішою послугою, яку надає ваш кластер гібридної безпеки даних, є створення та зберігання ключів, що використовуються для шифрування повідомлень та іншого контенту, що зберігається в хмарі Webex. Для кожного користувача в організації, призначеного для гібридної безпеки даних, нові запити на створення ключів надсилаються до кластера. Кластер також відповідає за повернення створених ним ключів будь-яким користувачам, уповноваженим їх отримувати, наприклад, учасникам простору розмов.

Оскільки кластер виконує критично важливу функцію надання цих ключів, вкрай важливо, щоб кластер продовжував працювати, а також щоб підтримувалися належні резервні копії. Втрата бази даних Hybrid Data Security або ISO-файлу конфігурації, що використовується для схеми, призведе до НЕПОВОРОТНОЇ ВТРАТИ клієнтського контенту. Для запобігання таким втратам обов'язкові такі дії:

Якщо внаслідок катастрофи розгортання HDS в основному центрі обробки даних стане недоступним, виконайте цю процедуру, щоб вручну переключитися на резервний центр обробки даних.

Перш ніж почати

Використайте найновіший ISO-файл, налаштований для вузлів кластера, який раніше був активним, щоб виконати процедуру відновлення після відмови, зазначену нижче.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування
3	На сторінці Додаткові налаштування додайте конфігурацію нижче або видаліть конфігурацію `passiveMode`, щоб зробити вузол активним. Вузол може обробляти трафік після налаштування цього параметра. `passiveMode: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла в резервному центрі обробки даних. Перевірте вивід системного журналу, щоб переконатися, що вузли резервного центру обробки даних не перебувають у пасивному режимі. «KMS налаштовано в пасивному режимі» не повинно відображатися в системних журналах.

Що далі

Після відновлення після збою, якщо основний центр обробки даних знову стане активним, переведіть резервний центр обробки даних знову в пасивний режим, виконавши кроки, описані в Налаштування резервного центру обробки даних для аварійного відновлення.

(Необов'язково) Відмонтувати ISO після налаштування HDS

Стандартна конфігурація HDS працює зі змонтованим ISO-образом. Але деякі користувачі вважають за краще не залишати ISO-файли постійно змонтованими. Ви можете відмонтувати ISO-файл після того, як усі вузли HDS отримають нову конфігурацію.

Ви все ще використовуєте ISO-файли для внесення змін до конфігурації. Під час створення нового ISO-образу або оновлення ISO-образу за допомогою інструмента налаштування необхідно змонтувати оновлений ISO-образ на всіх вузлах HDS. Після того, як усі ваші вузли приймуть зміни конфігурації, ви можете знову відмонтувати ISO за допомогою цієї процедури.

Перш ніж почати

Оновіть усі вузли HDS до версії 2025.06.02.6983 або пізнішої.

1	Вимкніть один із вузлів HDS.
2	У vCenter Server Appliance виберіть вузол HDS.
3	Виберіть Редагувати налаштування > CD/DVD диск та зніміть прапорець ISO-файл сховища даних.
4	Увімкніть вузол HDS та переконайтеся, що протягом принаймні 20 хвилин немає тривог.
5	Повторіть по черзі для кожного вузла HDS.

Вирішення проблем гібридної безпеки даних

Перегляд сповіщень та усунення несправностей

Гібридне розгортання безпеки даних вважається недоступним, якщо всі вузли в кластері недоступні або кластер працює так повільно, що запитується тайм-аут. Якщо користувачі не можуть отримати доступ до вашого кластера гібридної безпеки даних, вони стикаються з такими симптомами:

Нові пробіли не можна створити (неможливо створити нові ключі)
Не вдається розшифрувати повідомлення та назви приміщень для:
- До простору додано нових користувачів (не вдається отримати ключі)
- Існуючі користувачі в просторі, які використовують нового клієнта (не можуть отримати ключі)
Існуючі користувачі в просторі продовжуватимуть успішно працювати, доки їхні клієнти мають кеш ключів шифрування.

Важливо належним чином контролювати свій кластер гібридної безпеки даних і своєчасно реагувати на будь-які сповіщення, щоб уникнути перебоїв у роботі.

Оповіщення

Якщо виникла проблема з налаштуванням гібридної безпеки даних, Центр партнерів відображає сповіщення для адміністратора організації та надсилає електронні листи на налаштовану адресу електронної пошти. Сповіщення охоплюють багато поширених сценаріїв.

Таблиця 1. Поширені проблеми та кроки для їх вирішення
Оповіщення	Дія
Помилка доступу до локальної бази даних.	Перевірте наявність помилок бази даних або проблем із локальною мережею.
Помилка підключення до локальної бази даних.	Перевірте, чи доступний сервер бази даних, і чи в конфігурації вузла було використано правильні облікові дані облікового запису служби.
Помилка доступу до хмарного сервісу.	Перевірте, чи вузли мають доступ до серверів Webex, як зазначено в Вимоги до зовнішнього підключення.
Поновлення реєстрації хмарного сервісу.	Реєстрацію в хмарних сервісах скасовано. Триває процес поновлення реєстрації.
Реєстрацію хмарного сервісу скасовано.	Реєстрацію в хмарних сервісах припинено. Сервіс закривається.
Послугу ще не активовано.	Активуйте HDS у Центрі партнерів.
Налаштований домен не відповідає сертифікату сервера.	Переконайтеся, що сертифікат вашого сервера відповідає налаштованому домену активації служби. Найімовірніша причина полягає в тому, що CN сертифіката нещодавно змінили, і тепер він відрізняється від CN, який використовувався під час початкового налаштування.
Не вдалося автентифікацію в хмарних сервісах.	Перевірте точність та можливий термін дії облікових даних облікового запису служби.
Не вдалося відкрити локальний файл сховища ключів.	Перевірте цілісність та точність пароля у локальному файлі сховища ключів.
Сертифікат локального сервера недійсний.	Перевірте термін дії сертифіката сервера та переконайтеся, що його було видано надійним центром сертифікації.
Не вдається опублікувати показники.	Перевірте доступ локальної мережі до зовнішніх хмарних сервісів.
/media/configdrive/hds каталог не існує.	Перевірте конфігурацію монтування ISO на віртуальному хості. Перевірте, чи існує ISO-файл, чи налаштовано його монтування після перезавантаження, і чи монтування відбулося успішно.
Налаштування організації-клієнта не завершено для доданих організацій.	Завершіть налаштування, створивши CMK для щойно доданих організацій-орендарів за допомогою інструмента налаштування HDS.
Налаштування організації-клієнта не завершено для видалених організацій.	Завершіть налаштування, скасувавши CMK організацій-орендарів, які було видалено за допомогою інструмента налаштування HDS.

Вирішення проблем гібридної безпеки даних

Використовуйте наведені нижче загальні рекомендації під час усунення несправностей із гібридною безпекою даних.

1	Увійдіть у партнерський центр.
2	У меню ліворуч на екрані виберіть Послуги.
3	У розділі «Гібрид» знайдіть «Гібридна безпека даних» і натисніть «Події».
4	Перегляньте сторінку історії подій на наявність сповіщень і виправте будь-які знайдені там проблеми. Дивіться зображення нижче для довідки.
5	Перегляньте вивідні дані сервера системного журналу на наявність активності під час розгортання гібридної безпеки даних. Фільтруйте за словами, такими як «Попередження» та «Помилка», щоб допомогти у вирішенні проблем.
6	Зверніться до служби підтримки Cisco .

API розробників HDS

API розробників HDS – це спосіб отримання аналітичних даних та даних моніторингу, а також усунення несправностей розгортання HDS через портал розробників Webex. API доступні за адресою https://developer.webex.com/messaging/docs/api/v1/hds.

Інші нотатки

Відомі проблеми гібридної безпеки даних

Якщо ви вимкнете всі активні кластери Hybrid Data Security (видалив їх у Центрі партнерів або вимкнувши всі вузли), втратите ISO-файл конфігурації або доступ до бази даних сховища ключів, користувачі Webex App з організацій клієнтів більше не зможуть використовувати пробіли у своєму списку людей, створені за допомогою ключів з вашої KMS. Наразі ми не маємо способу вирішення цієї проблеми та наполегливо закликаємо вас не вимикати служби HDS після того, як вони обробляють активні облікові записи користувачів.
Клієнт, який має існуюче підключення ECDH до KMS, підтримує це підключення протягом певного періоду часу (ймовірно, однієї години).

Запустіть інструмент налаштування HDS за допомогою Podman Desktop

Podman — це безкоштовний інструмент з відкритим кодом для керування контейнерами, який надає спосіб запуску, керування та створення контейнерів. Робочий стіл Podman можна завантажити з https://podman-desktop.io/downloads.

Інструмент налаштування HDS працює як Docker-контейнер на локальному комп 'ютері. Щоб отримати до нього доступ, завантажте та запустіть Podman на цьому комп'ютері. Для процесу настроювання потрібні облікові дані облікового запису Центру керування з повними правами адміністратора вашої організації.

Якщо інструмент налаштування HDS працює за проксі-сервером у вашому середовищі, надайте параметри проксі-сервера (сервер, порт, облікові дані) через змінні середовища Docker під час запуску контейнера Docker на кроці 5. У цій таблиці наведено деякі можливі змінні середовища:

Опис	Змінна
HTTP-проксі без автентифікації	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS проксі без автентифікації	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-проксі з автентифікацією	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS проксі з автентифікацією	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Згенерований вами ISO-файл конфігурації містить головний ключ, що шифрує базу даних PostgreSQL або Microsoft SQL Server. Вам потрібна остання копія цього файлу щоразу, коли ви вносите зміни до конфігурації, як-от:
- Облікові дані бази даних
- Оновлення сертифікатів
- Зміни в політиці авторизації
Якщо ви плануєте шифрувати з’єднання з базою даних, налаштуйте розгортання PostgreSQL або SQL Server для TLS.

Процес налаштування гібридної безпеки даних створює ISO-файл. Потім ви використовуєте ISO-образ для налаштування хоста Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Що далі

Виконайте решту кроків у розділі Створення ISO-образу конфігурації для хостів HDS або Зміна конфігурації вузла, щоб створити або змінити конфігурацію ISO.

Вимкнення хмарних агентів

Виконайте наведені нижче дії, щоб вимкнути хмарні агенти для розгортання HDS.

Це призведе до втрати таких функцій, як записи після зустрічей, стенограми, попередній перегляд файлів та автоматичне сканування на наявність шкідливого програмного забезпечення у Webex App Spaces.

1	Запустіть інструмент налаштування HDS та виконайте кроки, зазначені в Створення ISO-образу конфігурації для хостів HDS. ISO-файл має бути копією оригінального ISO-файлу основного центру обробки даних, на який потрібно внести наступні оновлення конфігурації.
2	Після налаштування сервера Syslogd натисніть Додаткові налаштування.
3	На сторінці Додаткові налаштування додайте наведену нижче конфігурацію, щоб вимкнути хмарні агенти. Це гарантуватиме, що хмарним агентам не буде дозволено обробляти трафік HDS. `cloudAgentUpdateEnabled: 'false'`
4	Завершіть процес налаштування та збережіть ISO-файл у місці, яке легко знайти.
5	Зробіть резервну копію ISO-файлу на вашій локальній системі. Зберігайте резервну копію в безпеці. Цей файл містить головний ключ шифрування для вмісту бази даних. Обмежте доступ лише тим адміністраторам гібридної безпеки даних, які повинні вносити зміни до конфігурації.
6	У лівій навігаційній панелі клієнта VMware vSphere клацніть правою кнопкою миші на віртуальній машині та виберіть Редагувати налаштування.
7	Натисніть Редагувати налаштування >CD/DVD Диск 1 та виберіть ISO-файл сховища даних. Переконайтеся, що позначено опції Підключено та Підключатися при ввімкненні живлення, щоб оновлені зміни конфігурації могли набути чинності після запуску вузлів.
8	Увімкніть вузол HDS та переконайтеся, що протягом щонайменше 15 хвилин немає тривог.
9	Повторіть процес для кожного вузла у вашому розгортанні HDS. Перевірте системні журнали на наявність такого запису, щоб переконатися, що хмарні агенти вимкнено: «Оновлення хмарного агента вимкнено».

Перенесіть існуюче розгортання HDS для одного клієнта партнерської організації в Control Hub до багатоклієнтської конфігурації HDS у Partner Hub.

Перетворення існуючого одноклієнтного розгортання HDS партнерської організації, керованого в Control Hub, на багатоклієнтське розгортання HDS, кероване в Partner Hub, в першу чергу передбачає деактивацію служби HDS в Control Hub, скасування реєстрації вузлів та видалення кластера. Потім ви можете увійти до Центру партнерів, зареєструвати вузли, активувати Multi-Tenant HDS та додати клієнтів до свого кластера.

Термін «одноорендарний» просто стосується існуючого розгортання HDS у Control Hub.

Деактивуйте HDS, скасуйте реєстрацію вузлів та видаліть усі кластери в Control Hub

1	Увійдіть до Control Hub. На лівій панелі натисніть Гібрид. На картці «Гібридна безпека даних» натисніть «Редагувати налаштування».
2	На сторінці налаштувань прокрутіть униз до розділу «Деактивувати» та натисніть Деактивувати.
3	Після деактивації натисніть на вкладку Ресурси.
4	На сторінці Ресурси перелічено кластери у вашому розгортанні HDS. Клацніть на кластері, відкриється сторінка з усіма вузлами цього кластера.
5	Натисніть праворуч і натисніть Скасувати реєстрацію вузла. Повторіть процес для всіх вузлів у кластері.
6	Якщо ваше розгортання має кілька кластерів, повторюйте кроки 4 та 5, доки всі вузли не будуть скасовані з реєстрації.
7	Натисніть Налаштування кластера > Видалити.
8	Натисніть Підтвердити видалення, щоб скасувати реєстрацію кластера.
9	Повторіть цей процес для всіх кластерів у вашому розгортанні HDS. Після деактивації HDS, скасування реєстрації вузлів та видалення кластерів, внизу картки Hybrid Data Service у Control Hub відображатиметься повідомлення Налаштування не завершено.

Активуйте багатоклієнтську HDS для організації-партнера в Центрі партнерів і додайте клієнтів

Перш ніж почати

Усі передумови, згадані у Вимоги до безпеки гібридних даних для кількох орендарів, застосовуються тут. Крім того, переконайтеся, що під час переходу до багатокористувацького HDS використовуються та сама база даних і сертифікати.

1	Увійдіть до Центру партнерів. Натисніть Послуги на лівій панелі. Використовуйте той самий ISO-образ з попереднього розгортання HDS для налаштування вузлів. Це гарантуватиме, що повідомлення та контент, створені користувачами в попередньому розгортанні HDS, будуть доступні в новій конфігурації Multi-Tenant.
2	У розділі «Гібрид» знайдіть картку «Гібридна безпека даних» і натисніть «Налаштувати.
3	На сторінці, що відкриється, натисніть Додати ресурс.
4	У першому полі картки Створити кластер введіть назву кластера, до якого потрібно призначити вузол гібридної безпеки даних. Ми рекомендуємо називати кластер на основі географічного розташування вузлів кластера. Приклади: «Сан-Франциско», «Нью-Йорк» або «Даллас»
5	У другому полі введіть внутрішню IP-адресу або повне доменне ім’я (FQDN) вашого вузла та натисніть Додати внизу екрана. Ця IP-адреса або повне доменне ім'я має збігатися з IP-адресою або іменем хоста та доменом, які ви використовували в Налаштування віртуальної машини гібридної безпеки даних. З’явиться повідомлення про те, що ви можете зареєструвати свій вузол у Webex.
6	Натисніть Перейти до вузла. Через кілька хвилин вас буде перенаправлено до тестів підключення вузлів для служб Webex. Якщо всі тести пройдуть успішно, з’явиться сторінка «Дозволити доступ до вузла гібридної безпеки даних». Там ви підтверджуєте, що хочете надати дозволи своїй організації Webex на доступ до вашого вузла.
7	Установіть прапорець Дозволити доступ до вашого гібридного вузла безпеки даних, а потім натисніть Продовжити. Ваш обліковий запис підтверджено, і повідомлення «Реєстрація завершена» вказує на те, що ваш вузол тепер зареєстровано в хмарі Webex. На сторінці Гібридна безпека даних новий кластер, що містить зареєстрований вами вузол, відображається на вкладці Ресурси. Вузол автоматично завантажить найновіше програмне забезпечення з хмари.
8	Перейдіть на вкладку Налаштування та натисніть Активувати на картці стану HDS. ПовідомленняАктивовано HDS з’явиться внизу екрана.
9	Натисніть на вкладку Призначені клієнти.
10	Натисніть Додати клієнтів.
11	Виберіть клієнта, якого ви хочете додати, з випадаючого меню.
12	Натисніть Додати, клієнта буде додано до кластера.
13	Повторіть кроки з 11 по 13, щоб додати кількох клієнтів до кластера.
14	Після додавання клієнтів натисніть «Готово» внизу екрана.

Що далі

Запустіть інструмент налаштування HDS, як описано в розділі Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS, щоб завершити процес налаштування.

Використання OpenSSL для створення файлу PKCS12

Перш ніж почати

OpenSSL – це один із інструментів, який можна використовувати для створення файлу PKCS12 у правильному форматі для завантаження в інструмент налаштування HDS. Є й інші способи зробити це, і ми не підтримуємо та не просуваємо один спосіб над іншим.
Якщо ви все ж таки вирішите використовувати OpenSSL, ми надаємо цю процедуру як рекомендації, щоб допомогти вам створити файл, який відповідає вимогам сертифіката X.509, описаним у Вимоги до сертифіката X.509. Зрозумійте ці вимоги, перш ніж продовжувати.
Встановіть OpenSSL у підтримуваному середовищі. Див. https://www.openssl.org для отримання інформації про програмне забезпечення та документацію.
Створіть закритий ключ.
Розпочніть цю процедуру, коли отримаєте сертифікат сервера від вашого центру сертифікації (CA).

1	Коли ви отримаєте сертифікат сервера від вашого центру сертифікації, збережіть його як `hdsnode.pem`.
2	Відобразіть сертифікат у текстовому форматі та перевірте деталі. `openssl x509 -text -noout -in hdsnode.pem`
3	Використайте текстовий редактор, щоб створити файл пакета сертифікатів під назвою `hdsnode-bundle.pem`. Файл пакета має містити сертифікат сервера, будь-які проміжні сертифікати CA та кореневі сертифікати CA у форматі, наведеному нижче: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Створіть файл .p12 із зручною назвою `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Перевірте деталі сертифіката сервера. `openssl pkcs12 -in hdsnode.p12` Введіть пароль у запиті, щоб зашифрувати закритий ключ, і він відображатиметься у виводі. Потім перевірте, чи закритий ключ і перший сертифікат містять рядки `friendlyName: kms-private-key`. Приклад: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Що далі

Повернутися до Виконайте попередні умови для гібридної безпеки даних. Ви будете використовувати файл hdsnode.p12 та пароль, який ви для нього встановили, у розділі «Створення ISO-образу конфігурації для хостів HDS.

Ви можете повторно використати ці файли, щоб запросити новий сертифікат, коли термін дії оригінального сертифіката закінчиться.

Трафік між вузлами HDS та хмарою

Вихідний трафік збору показників

Вузли гібридної безпеки даних надсилають певні показники до хмари Webex. До них належать системні метрики для максимального обсягу купи, використання купи, завантаження процесора та кількості потоків; метрики для синхронних та асинхронних потоків; метрики для сповіщень, що стосуються порогу шифрованих підключень, затримки або довжини черги запитів; метрики для сховища даних; та метрики шифрованих підключень. Вузли надсилають зашифрований ключовий матеріал через позасмуговий (окремий від запиту) канал.

Вхідний трафік

Вузли гібридної безпеки даних отримують такі типи вхідного трафіку з хмари Webex:

Запити на шифрування від клієнтів, які маршрутизуються службою шифрування
Оновлення програмного забезпечення вузла

Налаштування проксі-серверів Squid для гібридної безпеки даних

Websocket не може підключитися через проксі-сервер Squid

Проксі-сервери Squid, які перевіряють HTTPS-трафік, можуть перешкоджати встановленню з’єднань websocket (wss:), яких вимагає гібридна безпека даних. У цих розділах наведено інструкції щодо налаштування різних версій Squid для ігнорування wss: трафіку для належної роботи сервісів.

Кальмари 4 і 5

Додайте директиву on_unsupported_protocol до squid.conf:

on_unsupported_protocol tunnel all

Кальмари 3.5.27

Ми успішно протестували гібридну безпеку даних, додавши до squid.conf. Ці правила можуть змінюватися в міру розробки функцій і оновлення хмари Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

1	У командному рядку вашого комп 'ютера введіть відповідну команду для вашого середовища: У звичайних середовищах: `podman rmi ciscocitg/hds-setup:stable` У середовищах FedRAMP: `podman rmi ciscocitg/hds-setup-fedramp:stable` Цей крок очищає попередні зображення інструменту налаштування HDS. Якщо попередніх зображень немає, програма повертає помилку, яку ви можете проігнорувати.
2	Щоб увійти до реєстру Docker-зображень, введіть наступне: `podman login docker.io -u hdscustomersro`
3	На запиті пароля введіть цей хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Завантажте останнє стабільне зображення для вашого середовища: У звичайних середовищах: `podman pull ciscocitg/hds-setup:stable` У середовищах FedRAMP: `podman pull ciscocitg/hds-setup-fedramp:stable`
5	Після завершення витягування введіть відповідну команду для вашого середовища: У звичайних середовищах без проксі-сервера: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` У звичайних середовищах з http проксі: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У звичайних середовищах із HTTPS-проксі: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` У середовищах FedRAMP без проксі-сервера: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з http проксі: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` У середовищах FedRAMP з HTTPS-проксі: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Коли контейнер працює, ви бачите "Експрес-сервер, що прослуховує порт 8080". Інструмент налаштування не підтримує підключення до localhost через http://localhost:8080. Використовуйте http://127.0.0.1:8080 для підключення до локального хоста.

Cisco AI Assistant

Дякуємо за відгук.

Нова та змінена інформація

Послідовність завдань деактивації багатокористувацького HDS

Поширені запитання

З. Чи зберігаються CMK та головний ключ в ISO чи в базі даних?

З. Чи використовується один ключ для шифрування всіх даних організацій клієнтів?

З. Що станеться, якщо я вимкну HDS у Центрі партнерів?

З. Чому я не бачу списку клієнтів, коли натискаю кнопку «Додати клієнтів» у Центрі партнерів?

З. Які наслідки матиме вимкнення всіх вузлів HDS або проблема з мережею, що вплине на всі вузли HDS?

З. Чи шифруються дані користувачів організації-партнера за допомогою головного ключа, згенерованого під час створення ISO?

З. Чи можуть організація-партнер та організації-орендарі знаходитися в різних регіонах (наприклад, у США та ЄС)?

З. Чи існує якийсь механізм для переміщення ключів назад до Cloud KMS?

З. Чи може партнер продовжувати використовувати Cloud KMS та використовувати виключно Multi-Tenant HDS для керування клієнтами?

З. Як партнер може перевірити, чи його організація використовує Multi-Tenant HDS для шифрування?

З. Чи існує альтернатива Docker Desktop для запуску інструменту налаштування HDS?

З. Скільки вузлів я можу розгорнути в кластері Multi-Tenant HDS?

З. Які мережеві вимоги необхідні для налаштування багатокористувацького HDS?

З. Чи є Pro Pack для Control Hub обов'язковим для партнерських організацій?

З. Чи підтримується HSM у багатоклієнтській HDS?

З. Чи можу я протестувати багатокористувацьку HDS за допомогою самопідписаного сертифіката?

З. Чи потрібно монтувати ISO-образ щоразу, коли додається новий клієнт у Центрі партнерів?

З. Після розгортання Multi-Tenant HDS у Partner Hub, чи починають користувачі партнерської організації використовувати локальну KMS для керування ключами?

Огляд безпеки гібридних даних для кількох орендарів

Як багатокористувацька гібридна безпека даних забезпечує суверенітет даних та контроль над ними

Обмеження гібридної безпеки даних для кількох орендарів

Ролі в багатоклієнтній гібридній безпеці даних

Архітектура області безпеки

Співпраця з іншими організаціями

Очікування щодо розгортання гібридної безпеки даних

Процес налаштування високого рівня

Гібридна модель розгортання безпеки даних

Резервний центр обробки даних для аварійного відновлення

Налаштування резервного центру обробки даних для аварійного відновлення

Підтримка проксі

Приклад гібридних вузлів безпеки даних і проксі-сервера

Заблокований зовнішній режим роздільної здатності DNS (явні конфігурації проксі)

Вимоги до безпеки даних для багатокористувацьких гібридних систем

Вимоги до ліцензії Cisco Webex

Вимоги до робочого столу Docker

Вимоги до сертифіката X.509

Вимоги до віртуального хоста

Вимоги до сервера бази даних

Додаткові вимоги для автентифікації Windows на Microsoft SQL Server

Вимоги до зовнішнього підключення

Вимоги до проксі-сервера

Виконайте попередні умови для гібридної безпеки даних

Послідовність завдань розгортання гібридної безпеки даних

Виконайте початкове налаштування та завантажте інсталяційні файли

Створення ISO-образу конфігурації для хостів HDS

Встановлення OVA хоста HDS

Налаштування віртуальної машини гібридної безпеки даних

Завантажте та змонтуйте ISO-файл конфігурації HDS

Налаштування вузла HDS для інтеграції проксі

Зареєструйте перший вузол у кластері

Створення та реєстрація додаткових вузлів

Активуйте багатокористувацьку HDS у Центрі партнерів

Додавання організацій-орендарів у Центрі партнерів

Створення основних ключів клієнта (CMK) за допомогою інструмента налаштування HDS

Видалити організації-орендарі

Скасувати CMK орендарів, видалених з HDS.

Перевірте розгортання гібридної безпеки даних

Інтерпретація журналів HDS та розуміння міток агентів

Термінологія

Типи запитів – короткий довідник

Типи запитів – детальніше

Моніторинг стану безпеки гібридних даних

Керування розгортанням HDS

Встановити розклад оновлення кластера

Зміна конфігурації вузла

Вимкнення режиму роздільної здатності заблокованих зовнішніх DNS

Видалити вузол

Аварійне відновлення з використанням резервного центру обробки даних

(Необов'язково) Відмонтувати ISO після налаштування HDS

Перегляд сповіщень та усунення несправностей

Оповіщення

Вирішення проблем гібридної безпеки даних

API розробників HDS

Відомі проблеми гібридної безпеки даних

Запустіть інструмент налаштування HDS за допомогою Podman Desktop