- 首頁
- /
- 文章
感謝您的意見回饋。
在此文章中
意見回饋？新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
 | 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年7月29日 |
|
| 2026年7月2日 |
|
| 2026年6月23日 |
|
| 2026年6月1日 |
|
| 2026年4月16日 |
|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而無需在部署之後進行配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
| 僅支援RSA證書。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
區域 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合式資料安全虛擬機中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
解讀HDS日誌和理解代理標籤
HDS 日誌提供有關 KMS 請求的詳細資訊。這些日誌包含各種字段，有助於識別請求的性質和相關的身份。理解這些領域對於正確解讀活動和可信賴的內部操作至關重要。
術語
為了確保在查看 HDS 日誌時能夠清晰理解，了解以下術語非常重要：
| 術語 | 定義 |
|---|---|
| 服務帳戶 | 一種服務標識，允許 Webex 服務安全地執行授權操作。 |
| 代理 | 用於在 HDS 環境中執行自動化操作的服務實體或服務帳戶標識。 |
| 代理商標籤 | HDS 日誌中包含的標籤，用於識別傳入請求的特定來源和類型，從而實現有效的存取控制稽核。 |
| 委託存取權限 | 授權服務帳戶向特定使用者發出請求 ，且該請求在其權限範圍內。以 委託請求的形式出現 :agent -> userid. |
在此上下文中，「代理」一詞特指 HDS 服務身份。這些與 Webex 其他功能中使用的 AI 代理程式無關。
只有當請求源自 以下來源時，才會被處理：
- 您組織中經過身份驗證的用戶，或者
- 一個駐留在您的組織內並經您的組織授權的 服務帳戶 。
日誌欄位概述
| 欄位 | 它代表什麼 |
|---|---|
| 時間戳記 | 手術日期和時間。 |
| kms.data.method | 執行的 KMS 操作（例如，檢索）。 |
| kms.data.orgld | 組織識別碼。 |
| kms.data.httpUserAgent | 提出請求的客戶或服務方。 |
| WEBEX_追蹤 ID | 請求的唯一追蹤識別碼。 |
| kms.data.uriHost / kms.data.uri | 請求的目標主機和資源。 |
| kms.data.userld | 執行請求的身份，包括代理標籤。 |
| kms.response.success | 指示請求是否成功。 |
請求類型 - 快速參考
| 在日誌中標記 | 代理商標籤 | 它代表什麼 | 典型操作 |
|---|---|---|---|
| 使用者類型：userAgent | 使用者代理 | 與使用者工作流程綁定的受信任服務帳戶，範圍限定在您的組織內。 | Creating/managing 用戶進程的鍵。 |
| o-agent <id> -> 使用者身分 <id> | 組織代理 | 使用委派存取權限的組織級受信任服務帳戶。 | 合規官提取 Webex 數據，日曆整合。 |
| c-agent <id> -> 使用者身分 <id> | 雲端代理 | Webex 服務為特定使用者執行委託請求。 | 病毒掃描、內容預覽、文字記錄。 |
| c-代理 <id> | 雲端代理 | Webex 服務正在執行委託請求。 | ECDHE / 會話密鑰。 |
| 最終用戶 UUID | - | 已認證的最終用戶與HDS互動。 | 使用者正在找回自己的密鑰。 |
請求類型詳解
代理標籤用於對請求來源進行分類，並有助於確定適當的存取控制。以下範例展示了多種請求類型及其關聯的代理標籤。
-
使用者代理程式（userAgent):
這些是與特定使用者工作流程關聯的受信任 Webex 服務帳戶，並且僅限於客戶組織。它們通常用於服務代表使用者工作流程建立和管理金鑰的情況。
日誌範例：
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示使用者代理程式（
userAgent）正在為 Webex 服務執行資源收集操作。 -
組織代理 (o-agent):
這些受信任的 Webex 服務帳戶被授權代表 HDS 中的使用者執行委託操作。這些帳戶的範圍限定於客戶組織，執行組織層級的操作。此功能支援多種特性，例如使合規官能夠搜尋和提取 Webex 通訊數據，從而確保組織符合監管、安全和資料隱私標準。
日誌範例：
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示組織代理程式（
o-agent 9[~]c）代表使用者（4[~]b）為 Webex 服務檢索金鑰。 - 雲端代理 (c-agent):
這些受信任的 Webex 服務帳戶被授權代表使用者透過委託存取權限對 HDS 執行操作。它們支援一些重要功能，例如會後錄音、文字記錄、反惡意軟體掃描和檔案預覽，從而提升整體使用者體驗。
雖然可以透過修改 ISO 來停用雲端代理，但客戶應該意識到這將導致 Webex App Spaces 中部分功能的遺失，例如會後錄製、轉錄、檔案預覽和自動反惡意軟體掃描。有關更多信息，請參閱 禁用雲端代理 部分。
日誌範例：
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示雲端代理（
c-agent b[~]c）代表使用者（9[~]c）檢索內容金鑰。 -
最終使用者直接互動:
已認證使用者直接與HDS互動。
日誌範例：
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true 關鍵指標: 範例日誌顯示最終使用者（
c[~]f）檢索金鑰並直接與 HDS 互動。
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
禁用雲端代理
雲端代理程式（c-agent）是受信任的 Webex 服務帳戶，透過委託存取權限代表使用者在 HDS 上執行操作，以增強整體使用者體驗。停用雲端代理程式會阻止 Webex 服務存取本機 HDS 金鑰。
停用雲端代理將導致 Webex App Spaces 中諸如會後錄製、轉錄、檔案預覽和自動反惡意軟體掃描等功能遺失。
請依照下列步驟停用 HDS 部署的雲端代理程式。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
配置 Syslogd 伺服器後，點選 進階設定。 |
| 3 |
在 進階設定 頁面上，新增以下配置以停用雲端代理。這將確保不允許雲端代理處理 HDS 流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對 HDS 部署中的每個節點重複此程序。 透過檢查系統日誌中是否存在以下條目來確認雲端代理程式已停用：「雲端代理更新已停用」。 |
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all前言
新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
地區 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點依照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外清單。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外清單。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合式資料安全虛擬機中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理您的 HDS 部署
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他說明
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO中。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
已進行的變更 |
|---|---|
| 二零二六年十月一日 | |
| 二零二六年九月二十一日 |
|
| 二零二六年九月七日 |
|
| 二零二六年八月二十八日 |
|
| 二零二六年七月二十九日 |
|
| 二零二六年七月二日 |
|
| 二零二六年六月二十三日 |
|
| 二零二六年六月一日 | |
| 2026 年 4 月 16 日 |
|
| 2026年3月25日 |
|
|
二零二五年十二月五日 |
|
|
二零二五年五月八日 |
|
|
二零二五年三月三日 |
|
|
二零二五年一月三十日 |
|
|
二零二五年一月七日 |
|
|
二零二三年十月二十日 |
|
|
二零二三年八月七日 | |
|
二零二三年五月二十三日 |
|
|
二零二年十二月六日 |
|
|
二零二年十一月二十三日 | |
|
2021 年 10 月 13 日 |
Docker 桌面需要執行安裝程式，才能 安裝 HDS 節點。 請參閱 Docker 桌面需求。 |
|
二零二一年六月二十四日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來要求 另一個憑證。 如需詳細資訊，請參閱使用 OpenSSL 產生 PKCS12 檔案。 |
| 二零二一年四月三十日 |
將本機硬碟空間的虛擬機器需求變更為 30 GB。 如需 詳細資訊，請參閱虛擬主機需求。 |
|
二零二一年二月二十四日 |
HDS 安裝工具現在可以在代理伺服器後面執行。 如需詳細資訊，請參閱建立 HDS 主機的組態 ISO。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛載的 ISO 檔案的情況下執行。 如需詳細資訊，請參閱 (選擇性) HDS 組態後卸載 ISO。 |
|
二零二一年一月十一日 |
新增 HDS 安裝工具和代理伺服器的資訊，以建立 HDS 主機組態 ISO。 |
|
二零二零年十月十三日 |
更新了下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新建立 HDS 主機的組態 ISO，並使用 FedRAMP 環境的指令變更節點組態。 |
|
2020 年 8 月 14 日 | |
|
二零二零年八月五日 |
已更新測試您的混合資料安全部署是否有記錄訊息中的變更。 更新虛擬主機需求以移除主機數目上限。 |
|
2020 年 6 月 16 日 | |
|
2020 年 6 月 4 日 |
已更新建立 HDS 主機的組態 ISO，以便在您可能設定之進階 設定中的變更。 |
|
2020 年 5 月 29 日 |
更新了為 HDS 主機建立組態 ISO，以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他澄清一起使用。 |
|
5 月 5，2020 |
更新虛擬主機需求，以顯示 ESXi 6.5 的新需求。 |
|
二零二零年四月二十一日 |
使用新的美洲 CI 主機更新了外部連線需求。 |
|
二零二零年四月一日 |
更新了外部連線需求，其中包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 已更新建立 HDS 主機的組態 ISO，其中包含 HDS 設定工具中新選用的 進階設定畫面的資訊。 |
| 2020年2月4日 | 更新代理伺服器需求。 |
| 二零一九年十二月十六日 | 澄清在 Proxy 伺服器需求中工作的封鎖外部 DNS 解析模式的要求。 |
| 二零一九年十一月十九日 |
在下列各節中新增有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時，為節點設定網路設定，而非之後。 相應地更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。 此選項可能無法在較早版本中使用。 |
|
二零一九年九月六日 |
將 SQL 伺服器標準新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 新增設 Squid Proxy 用於混合資料安全性附錄，其中包含有關設定 Squid 代理以忽略網路通訊端流量以進行正確操作的指引。 |
| 二零一九年八月二十日 |
新增並更新區段，以涵蓋與 Webex 雲端的混合資料安全節點通訊的代理支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性的 Proxy 支援與 Webex 視訊網格說明文章。 |
| 二零一九年六月十三日 | 如果您的組織使用目錄同步處理，更新了試用到生產工作流程，提醒您在開始試用之前同步化HdsTrialGroup群組物件。 |
| 二零一九年三月六日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 二零一八年十一月五日 |
|
| 二零一八年十月十九日 | |
|
二零一八年七月三十一日 |
|
| 二零一八年五月二十一日 |
更改了術語以反映思科 Spark 的重新品牌：
|
| 二零一八年四月十一日 |
|
| 二零一八年二月二十二日 | |
| 二零一八年二月十五日 |
|
| 二零一八年一月十八日 |
|
|
二零一七年十一月二日 |
|
|
二零一七年八月十八日 |
首次出版 |
混合資料安全性概觀
從第一天起，數據安全一直是設計 Webex 應用程式的主要焦點。 這種安全性的基石是端到端內容加密，由 Webex 應用用戶端與金鑰管理服務 (KMS) 交互啟用。 KMS 負責創建和管理用戶端用於動態加密和解密消息和檔的加密金鑰。
默認情況下，所有 Webex App 客戶都會使用存儲在雲 KMS 中的動態密鑰獲得端到端加密，位於 Cisco 的安全領域。 混合數據安全將 KMS 和其他與安全相關的功能移動到您的企業數據中心，因此除了您之外，沒有人持有加密內容的密鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
不支援從混合式資料安全性 (HDS) 移轉至 Webex 雲端 KMS。 停用 HDS 將導致對先前使用這些金鑰加密的內容和數據丟失的存取權。 您必須保留 HDS 才能保留對現有加密內容的存取權。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合式資料安全性的要求
Cisco Webex授權要求
若要部署混合式資料安全性：
-
您必須擁有專業組合包Cisco Webex Control Hub。 請參閱 https://www.cisco.com/go/pro-pack。)
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker 桌面執行安裝程式。 Docker 最近更新了他們的授權模式。 您的組織可能需要 Docker 桌面的 付費訂閱。 有關詳細信息，請參閱 Docker 部落格文章「Docker 正在更新和擴展我們的產品 訂閱」。
沒有 Docker 桌面授權的客戶可以使用 Podman Desktop 等開放原始碼容器管理工具來執行、管理和建立容器。 有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 證書要求
憑證鏈必須符合下列要求：
|
需求 |
詳細資料 |
|---|---|
|
默認情況下，我們信任 Mozilla 列表中的 CA（WoSign 和 StartCom 除外），位於 https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要可連接或是現場主持人。 我們建議您使用反映您組織的名稱，例如， CN 不得包含 * (萬用字元)。 CN 用於驗證 Webex 應用程式用戶端的混合資料安全節點。 叢集中的所有混合資料安全節點都使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是在 x.509v3 SAN 欄位中定義的任何網域。 使用此憑證註冊節點後，我們不支援變更 CN 網域名稱。 選擇可套用於試用和生產部署的網域。 |
|
KMS 軟體不支援 SHA1 簽章，用於驗證與其他組織的 KMS 的連線。 |
|
您可以使用轉換器（例如 OpenSSL）來更改憑證的格式。 執行 HDS 安裝工具時，您需要輸入密碼。 |
| 只支援 RSA 憑證。 |
KMS 軟體不會強制金鑰使用或延伸金鑰使用限制。 某些憑證授權單位要求將延伸金鑰使用限制套用至每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合式資料安全節點的虛擬主機具有下列需求：
-
至少兩個獨立的主機（建議 3 台）放置在同一個安全資料中心
-
支持的超級監視器：
-
虛擬軟體 ESXi 7.0 或 8.0。
- 思科企業網路功能虛擬化基礎架構軟體 (NFVIS) 版本 26.2.1。
- 諾塔尼克斯 AOS 7.5.x 配備諾塔尼克斯 AHV 11.0 倍。
-
-
每部伺服器最少有 4 個 vCPU、8 GB 主記憶體、30 GB 本機硬碟空間。
資料庫伺服器需求
為金鑰儲存建立新資料庫。 請勿使用預設資料庫。 安裝後，HDS 應用程式會建立資料庫結構描述。
資料庫伺服器有兩個選項。 每個要求如下：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
|
|
至少 8 個 vCPU、16GB 主記憶體、足夠的硬碟空間和監控以確保不超過 (如果您想長時間執行資料庫而不需增加儲存空間，建議使用 2 TB) |
至少 8 個 vCPU、16GB 主記憶體、足夠的硬碟空間和監控以確保不超過 (如果您想長時間執行資料庫而不需增加儲存空間，建議使用 2 TB) |
HDS 軟體目前安裝下列驅動程式版本，以便與資料庫伺服器進行通訊：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
波斯特格雷斯 JDBC 驅動程序 42.2.5 |
SQL 伺服器 JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server 永遠開啟 (永遠開啟的容錯移轉叢集執行個體和永遠開啟可用性群組)。 |
針對微軟 SQL 伺服器執行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來取得 Microsoft SQL Server 上金鑰儲存庫資料庫的存取權，則您需要在環境中執行下列組態：
-
HDS 節點、Active Directory基礎架構和 MS SQL 伺服器都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀取/寫入存取權限。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 HDS 資料庫執行個體在 Microsoft SQL 伺服器上註冊為服務主體名稱 (SPN)。Active Directory 請參閱為 Kerberos 連線註冊服務主體名稱。
HDS 設置工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來訪問金鑰庫數據庫。 當使用 Kerberos 驗證要求存取時，他們會使用 ISO 組態中的詳細資訊來構建 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
連接埠 |
來自應用程序的方向 |
目的地 |
|---|---|---|---|---|
|
混合式資料安全節點 |
TCP |
443 |
輸出的 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
只要 NAT 或防火牆允許使用前表格中的網域目的地的必要輸出連線，混合式資料安全節點可與網路存取轉換 (NAT) 一起使用或防火牆後面。 對於輸入到混合資料安全節點的連線，不應從網際網路看到任何連接埠。 在資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的混合資料安全節點，以作管理目的。
共同識別 (CI) 主機的 URL 是特定於區域的。 這些是目前的 CI 主機：
|
地區 |
常見識別主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
代理伺服器需求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成混合式資料安全性的先決條件
| 1 |
請確定您的 Webex 組織已啟用 Pro Pack，並取得Cisco Webex Control Hub具有完整組織管理員權限的帳戶的認證。 請聯絡您的 Cisco 合作夥伴或客戶經理，以取得有關此程序的協助。 |
| 2 |
選擇 HDS 部署的網域名稱 (例如， |
| 3 |
準備要在叢集中設定為混合資料安全節點的相同虛擬主機。 您需要至少兩個獨立的主機 (建議 3 台) 放置在相同的安全資料中心中，這些主機符合虛擬主機需求中的要求。 |
| 4 |
根據資料庫伺服器需求，準備將作為叢集的金鑰資料儲存區的資料庫伺服器。 資料庫伺服器必須與虛擬主機一起放置在安全資料中心中。 |
| 5 |
若要快速災難復原，請在其他資料中心設定備份環境。 備份環境會反映虛擬機器和備份資料庫伺服器的生產環境。 例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定系統日誌主機，從叢集中的節點收集記錄檔。 收集其網路位址和系統日誌連接埠 (預設值為 UDP 514)。 |
| 7 |
為混合式資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。 至少，為防止無法復原的資料遺失，您必須備份為混合資料安全節點產生的資料庫和組態 ISO 檔。 由於混合式資料安全節點儲存用於加密和解密內容的金鑰，因此無法維護作業部署將導致該內容無法復原的遺失。 Webex App 用戶端快取其金鑰，因此停機可能不會立即發現，但隨著時間的推移會變得明顯。 雖然暫時停機是不可能預防的，但它們是可以恢復的。 但是，資料庫或組態 ISO 檔案的完全遺失 (無備份) 將導致客戶資料無法復原。 混合資料安全節點的操作員預期會維護資料庫和組態 ISO 檔案的頻繁備份，並準備重建混合資料安全性資料中心，如果發生嚴重故障。 |
| 8 |
請確保您的防火牆組態允許混合式資料安全節點的連線，如「外部連線需求」中所述。 |
| 9 |
在執行支援作業系統 (Microsoft Windows10 專業版或企業 64 位元或 Mac OSX 優勝美地 10.10.3 或更高版本) 的任何本機電腦上安裝 Docker (https://www.docker.com)，使用可以在 http://127.0.0.1:8080 存取它的網頁瀏覽器。 您可以使用 Docker 執行個體來下載並執行 HDS 安裝工具，該工具會建立 所有混合資料安全節點的本機組態資訊。 您的組織可能需要 Docker 桌面授權。 如需詳細資訊，請參閱 Docker 桌面需求。 若要安裝和執行 HDS 安裝工具，本機電腦必須具有「外部連線需求」中所述的連線能力。 |
| 10 |
如果您要將代理與混合式資料安全整合，請確定它符合 Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步處理，請在已呼Active Directory叫中建立群組 指定空間的按鍵由空間的創建者設定。 選取試驗使用者時，請記住，如果您決定永久停用混合資料安全部署，則所有使用者都會失去試驗使用者建立的空間內容的存取權。 一旦用戶的應用程序刷新了緩存內容副本，損失就會變得明顯。 |
混合式資料安全部署工作流程
| 1 |
將 OVA 檔案下載到您的本機電腦以供以後使用。 |
| 2 |
使用 HDS 設定工具建立混合式資料安全節點的 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始組態。 僅 ESXi 7.0 和 8.0 支援 OVA 部署期間設定網路設定。 如需 NFVIS 部署，請參閱在 NFVIS 上安裝 HDS 主機 OVA。 有關 Nutanix 部署，請參閱在努塔尼克斯上安裝 HDS 主機 OVA |
| 4 | |
| 5 |
從您使用 HDS 設定工具建立的 ISO 組態檔來設定虛擬機器。 如需 NFVIS 部署，請參閱上傳和掛載 HDS 組態 ISO。 有關 Nutanix 部署，請參閱上傳和掛載 HDS 組態 ISO |
| 6 |
如果網路環境需要 Proxy 組態，請指定要用於節點的 Proxy 類型，並視需要將 Proxy 憑證新增至信任儲存區。 |
| 7 |
將虛擬機器與Cisco Webex雲端註冊為混合式資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下「服務」。 |
| 2 |
在「混合服務」區段中，找到混合式資料安全性卡，然後按一下「設定」。 如果 卡已停用或您看不到卡片，請聯絡 您的帳戶團隊或合作夥伴組織。 向他們提供您的帳戶號碼，並要求您 的組織啟用混合資料安全性。 若要尋找帳戶號碼，請按一下 組織名稱旁的右上角的齒輪。 您也可以隨時從「 設定」頁面的 「說明」部分下載 OVA。 在「混合資料安全性」卡上，按一下「編輯 設定」以開啟頁面。 然後，按一下 [ 說明] 區段中的 [下載混合資料安全 軟體]。 舊版本的軟體套件 (OVA) 將與最新的混合資料安全升級不相容。 這可能會導致升級應用程式時出現問題。 確保您下載 OVA 文件的最新版本。 |
| 3 |
選取「否」以 指示您尚未設定節點，然後 按一下「下一步」。 OVA 文件會自動開始
下載。 將檔案儲存到電腦上的某個
位置。
|
| 4 |
選擇性地按一下「開 啟部署指南」，檢查是否有 更新版本的本指南。 |
為 HDS 主機建立組態 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker 桌面授權，則可以使用 Podman 桌面執行 HDS 安裝工具，執行下列程序中的步驟 1 至 5。 有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器移至本地主機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，請輸入您的 Control Hub 客戶管理員登入認證，然後按一下「登入」以允許存取混合資料安全性所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在「ISO 匯入」 頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合 X.509 憑證要求中的要求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫地址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取 TLS 資料庫連線模式：
當您上傳根憑證 (如有必要) 並按一下繼續時，HDS 安裝工具會測試到資料庫伺服器的 TLS 連線。 此工具還會驗證憑證簽署者和主機名稱 (如果適用)。 如果測試失敗，工具會顯示描述問題的錯誤訊息。 您可以選擇是否忽略錯誤並繼續進行設置。 (由於連線差異，即使 HDS 設定工具機無法成功測試，HDS 節點也可能能夠建立 TLS 連線。) | ||||||||||
| 13 |
在「系統記錄檔」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
(選擇性) 您可以在進階設定中變更某些資料庫連線參數的預設值。 通常，這個參數是您可能需要變更的唯一參數： | ||||||||||
| 15 |
在「重設服務帳戶密碼」畫面上按一下「繼續」。 服務帳戶密碼的使用壽命為九個月。 當您的密碼即將到期或您想重置密碼以使先前的 ISO 檔案無效時，請使用此畫面。 | ||||||||||
| 16 |
按一下「下載 ISO 檔案」。 將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。 此檔案包含用於資料庫內容的主要加密金鑰。 僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉設定工具，請鍵入 |
下一步
備份組態 ISO 檔案。 您需要它來創建更多節點以進行恢復，或進行配置更改。 如果您丟失 ISO 文件的所有副本，則您也丟失了主鍵。 無法從 PostgreSQL 或微軟 SQL 伺服器資料庫中恢復金鑰。
我們永遠不擁有此密鑰的副本，如果您丟失它，也無法解決。
安裝硬碟主機 OVA
如果您要在 NFVIS 超級管理器上部署 HDS，請參閱在 NFVIS 上安裝 HDS 主機 OVA 一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱在 Nutanix 上安裝 HDS 主機 OVA 部分。
| 1 |
使用電腦上的 VMware vSphere 用戶端登入 ESXi 虛擬主機。 |
| 2 |
選取「檔案」>「部署 OVF 範本」。 |
| 3 |
在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下「下一步」。 |
| 4 |
在「選取名稱和資料夾」頁面上，輸入節點的虛擬機器名稱 (例如，"HDS_Node_1「)，選擇虛擬機器節點部署可以位置的位置，然後按一下下一步。 |
| 5 |
在 [選取運算資源] 頁面上，選擇目的地運算資源，然後按一下 [下一步]。 執行驗證檢查。 完成後，會出現範本詳細資訊。 |
| 6 |
驗證範本詳細資訊，然後按下一步。 |
| 7 |
如果系統要求您在 [組態] 頁面上選擇資源組態，請按一下 [4 CPU]，然後按 [下一步]。 |
| 8 |
在 [選取儲存區] 頁面上，按一下 [下一步] 以接受預設磁碟格式和虛擬機器儲存區原則。 |
| 9 |
在 「選取網路」頁面上，從項目清單中選擇網路選項，以提供所需的虛擬機器連線。 |
| 10 |
在「自訂範本」 頁面上，設定下列網路設定：
如果偏好，您可以跳過網路設定組態，然後依照設定混合資料安全虛擬機器中的步驟，從節點主控台設定設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 和 8.0 進行測試。 此選項可能無法在較早版本中使用。 |
| 11 |
在節點虛擬機器上按一下滑鼠右鍵，然後選擇源。 混合式資料安全軟體會以客體形式安裝在虛擬機器主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 節點容器出現之前，您可能會遇到幾分鐘的延遲。 首次開機時，主控台上會出現橋接防火牆訊息，在此期間您無法登入。 |
設定混合式資料安全虛擬機器
使用此程序可首次登入混合式資料安全節點虛擬機器主控台，並設定登入認證。 如果您在 OVA 部署時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
如果您要在 NFVIS 超級管理程式上部署 HDS，請參閱在 NFVIS 上設定混合式資料安全虛擬機器一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱在 Nutanix 上建立混合式資料安全虛擬機器一節。
| 1 |
在 VMware vSphere 用戶端中，選取您的混合資料安全節點虛擬機器，然後選取 [主控台] 索引標籤。 虛擬機器會啟動並出現一個登入提示。 如果登入提示未顯示，請按 Enter。
|
| 2 |
使用下列預設登入和密碼登入並變更憑證： 由於您是第一次登入虛擬機器，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA 中設定網路設定，請跳過此程序的其餘步驟。 否則，在主功能表中，選取「編輯組態」 選項。 |
| 4 |
設定具有 IP 位址、遮罩、閘道和 DNS 資訊的靜態組態。 您的節點應具有內部 IP 位址和 DNS 名稱。 不支援 DHCP。 |
| 5 |
(選擇性) 如果需要，變更主機名稱、網域或 NTP 伺服器，以符合您的網路原則。 您不需要將網域設定為與您用來取得 X.509 憑證的網域相符。 |
| 6 |
儲存網路組態並重新啟動虛擬機器，以便變更生效。 |
上傳並掛載 HDS 組態 ISO
如果您要在 NFVIS 超級管理器上部署 HDS，請參閱上傳和掛載 HDS 組態 ISO 一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱上傳和掛載 HDS 組態 ISO 部分。
在開始之前
由於 ISO 檔案包含主金鑰，因此只應在「需要知道」的基礎上公開它，以供混合式資料安全虛擬機器和任何需要進行變更的管理員存取。 請確定只有這些管理員可以存取資料存放區。
| 1 |
從您的計算機上傳 ISO 文件： |
| 2 |
掛載 ISO 檔案： |
下一步
如果您的 IT 原則需要，您可以選擇性地在所有 節點接收組態變更後取消掛載 ISO 檔案。 如需詳細資訊，請參閱 (選擇性) HDS 組態後卸載 ISO。
設定 HDS 節點以進行代理整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立指定節點的叢集。 叢集包含一個或多個部署的節點以提供備援。
在開始之前
-
一旦開始註冊節點，您必須在 60 分鐘內完成它，否則必須重新開始。
-
確保瀏覽器中的任何彈出式視窗封鎖程式已停用，或允許 admin.webex.com 發生例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到混合式資料安全性，然後按一下「設定」。 便會顯示「註冊混合資料安全節點」頁面。
|
| 4 |
選取「是」以指示您已設定節點並已準備好註冊它，然後按一下「下一步」。 |
| 5 |
在第一個欄位中，輸入要指定混合資料安全節點的叢集名稱。 我們建議您根據叢集節點的地理位置命名叢集。 例如：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完全合格網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在設定混合資料安全虛擬機器中使用的 IP 位址或主機名稱和網域相符。 會出現一則訊息，指出您可以將節點註冊至 Webex。
|
| 7 |
按一下「移至節點」。 |
| 8 |
在警告訊息中按一下「繼續」。 幾分鐘後，您將重新導向到 Webex 服務的節點連線測試。 如果所有測試都成功，則會顯示「允許存取混合資料安全節點」頁面。 在此處，您確認您要授與 Webex 組織存取節點的權限。
|
| 9 |
勾選 [允許存取混合資料安全節點] 核取方塊，然後按一下 [繼續]。 您的帳戶已經驗證，並且「註冊完成」訊息表示您的節點現在已註冊到 Webex 雲端。
|
| 10 |
按一下連結或關閉標籤以返回「控制中心 混合資料安全性」頁面。 在「混合資料安全性」頁面上，會顯示包含您註冊之節點的新叢集。 節點將自動從雲端下載最新軟體。
|
建立和註冊更多節點
目前，您在「完成混合資料安全性先決條件」中建立的備份虛擬機器是僅在災難復原時使用的待命主機；在此之前，它們才會在系統註冊。 如需詳細資訊，請參閱使用待命資料中心的災難復原。
在開始之前
-
一旦開始註冊節點，您必須在 60 分鐘內完成它，否則必須重新開始。
-
確保瀏覽器中的任何彈出式視窗封鎖程式已停用，或允許 admin.webex.com 發生例外狀況。
| 1 |
從 OVA 建立新虛擬機器，重複安裝 HDS 主機 OVA 中的步驟。 |
| 2 |
在新虛擬機器上設定初始組態，重複設定混合式資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複上傳和掛載 HDS 組態 ISO 中的步驟。 |
| 4 |
如果您要為部署設定 Proxy，請根據需要針對新節點重複設定 HDS 節點以進行 Proxy 整合中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。 請注意，直到您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
設定混合式資料安全叢集之後，您可以啟動試驗、將使用者新增至其中，並開始使用它來測試和驗證部署，以準備移至生產階段。
在開始之前
| 1 |
如果適用，請同步 如果您的組織為使用者使用目錄同步處理，您必須先選取 |
| 2 |
開始試用。 在您執行此工作之前，節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查主要請求是否傳遞到混合式資料安全部署。 |
| 4 |
檢查狀態，並設置警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用
在開始之前
如果您的組織針對使用者使用目錄同步處理，您必須先選取HdsTrialGroup群組物件以同步至雲端，然後才能開始組織的試用版。 如需指示，請參閱思科目錄連接器的部署指南。
| 1 |
登入 https://admin.webex.com，然後選取 [服務]。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區段中，按一下「開始試用」。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者，然後輸入一或多個使用者的電子郵件地址，以試驗使用您的混合資料安全節點進行加密和索引服務。 (如果您的組織使用目錄同步處理，Active Directory請使用它來管理試用群組 |
測試您的混合式資料安全部署
在開始之前
-
設定混合式資料安全部署。
-
啟動試用版，並新增多個試用使用者。
-
請確定您有系統日誌的存取權，以驗證金鑰要求是否已傳遞至混合式資料安全部署。
| 1 |
指定空間的按鍵由空間的創建者設定。 以試驗使用者之一身分登入 Webex 應用程式，然後建立空間並邀請至少一位試驗使用者和一個非飛行員使用者。 如果停用「混合資料安全性」部署，一旦取代用戶端快取的加密金鑰副本，則試驗使用者建立的空間中的內容就無法再存取。 |
| 2 |
將訊息傳送到新空間。 |
| 3 |
檢查系統日誌輸出，以確認金鑰請求是否傳遞到您的混合式資料安全部署。 |
解譯 HDS 記錄檔和了解代理程式標籤
HDS 日誌提供有關 KMS 請求的詳細信息。 這些記錄檔包含各種欄位，可協助識別請求的性質和相關的身分。 了解這些領域對於正確解釋活動和信任的內部作業至關重要。
術語
為確保檢閱 HDS 記錄時清晰，瞭解下列術語非常重要：
| 術語 | 定義 |
|---|---|
| 服務帳戶 | 允許 Webex 服務安全地執行授權操作的服務識別。 |
| 代理 | 用於在 HDS 環境中執行自動化作業的服務實體或服務帳戶識別。 |
| 代理商標籤 | HDS 記錄檔中包含的標籤，可識別傳入要求的特定來源和類型，從而實現有效的存取控制稽核。 |
| 委派存取權 | 在該使用者的權限內針對特定使用者提出要求的授權服務帳戶。 顯示為委派請求：agent -> userid。 |
在此前後關聯中，「代理程式」一詞特別指的是 HDS 服務身分。 這些與其他 Webex 功能中使用的 AI 驅動代理程式無關。
只有當要求源自以下地方時才會提供：
- 組織中已驗證的使用者，或
- 位於您組織中且已授權的服務帳戶。
記錄欄位概觀
| 欄位 | 它代表什麼 |
|---|---|
| 時間戳記 | 作業的日期和時間。 |
| 公里數據。方法 | 執行的 KMS 作業（例如擷取）。 |
| 公里數據。奧格爾德 | 組織識別碼。 |
| KMS. 資料。HTTP 代理程式 | 提出要求的客戶或服務。 |
| WEBEX_TRACKINGID | 請求的唯一追蹤識別碼。 |
| KMS. 數據。自由主機/公里數據。URI | 要求目標的主機和資源。 |
| 公里數據。用戶端 | 執行請求的身分，包括代理程式標籤。 |
| 公里。回應。成功 | 指出請求是否成功。 |
請求類型-快速參考
| 標籤登入記錄 | 代理商標籤 | 它代表什麼 | 典型操作 |
|---|---|---|---|
| 使用者類型：用戶代理 | 使用者代理 | 與使用者工作流程相關的信任服務帳戶，並且涵蓋您的組織範圍。 | 建立/管理使用者處理程序的金鑰。 |
| o 代理-<id>> 用戶 ID <id> | 組織代理 | 使用委派存取權限的組織層級信任服務帳戶。 | 合規主任提取 Webex 資料、行事曆整合。 |
| c 代理-<id>> 用戶 ID <id> | 雲端代理 | 針對特定使用者執行委派請求的 Webex 服務。 | 病毒掃描，內容預覽，轉錄。 |
| c 代理 <id> | 雲端代理 | 執行委派請求的 Webex 服務。 | ECDHE/會話鍵。 |
| 最終使用者 UUID | - | 已驗證的終端使用者與 HDS 互動。 | 擷取自己的金鑰的使用者。 |
請求類型-詳細
代理程式標籤會對要求來源進行分類，並協助確定適當的存取控制。 下列範例演示了多個請求類型以及與它們相關聯的代理程式標籤。
-
使用者代理程式 (使用者代理)：
這些是與特定使用者工作流程相關聯的受信任 Webex 服務帳戶，並且適用於客戶組織的範圍。 它們通常會在服務代表使用者工作流程建立和管理金鑰時使用。
範例記錄：
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>主要指標：範例記錄檔會顯示為 Webex 服務執行資源收集作業的使用者代理程式 (
userAgent)。 -
組織代理 (o 代理)：
這些受信任的 Webex 服務帳戶獲授權代表 HDS 中的使用者執行委派作業。 根據客戶組織的範圍，這些帳戶執行組織層級作業。 此功能支援多項功能，例如允許合規主任搜尋和擷取 Webex 通訊資料，確保組織符合法規、安全性和資料隱私標準的一致性。
範例記錄：
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>關鍵指標：範例記錄檔會顯示一個組織代理程式 (
o-agent 9[~]c) 代表使用者 (4[~]b) 擷取 Webex 服務的金鑰。 - 雲端代理程式（c 代理程式）：
這些受信任的 Webex 服務帳戶獲授權代表使用者透過委派存取對 HDS 執行作業。 它們支持基本功能-例如會議後的錄音，成績單，反惡意軟件掃描和文件預覽，可增強整體用戶體驗。
雖然可以透過修改 ISO 來停用 Cloud 代理程式，但客戶應該注意，這會導致 Webex 應用程式空間中的會議後記錄、文件預覽、檔案預覽以及自動反惡意程式碼掃描等功能遺失。 如需詳細資訊，請參閱停用雲端代理程式一節。
範例記錄：
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>關鍵指示器：範例記錄檔會顯示雲端代理程式 (
c-agent b[~]c) 代表 user (9[~]c) 擷取內容金鑰。 -
終端使用者直接互動：
經過驗證的使用者直接與 HDS 互動。
範例記錄：
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true關鍵指標：範例日誌顯示一般使用者 (
c[~]f) 正在擷取金鑰並直接與 HDS 互動。
監控混合式資料安全健康狀況
| 1 |
在控制中心中，從畫面左側的功能表中選取「服務」。 |
| 2 |
在「混合服務」區段中，找到混合式資料安全性，然後按一下設定。 系統會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一個或多個以逗號分隔的電子郵件地址，然後按 Enter。 |
從試用中新增或移除使用者
如果您從試用中移除使用者，則使用者的用戶端會要求從雲端 KMS 而不是您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要存儲在您的 KMS 中的金鑰，雲端 KMS 將代表使用者擷取金鑰。
如果您的組織使用目錄同步處理，請使用 Active Directory (而不是此程序) 來管理試用群組 HdsTrialGroup；您可以在 Control Hub 中檢視群組成員，但無法新增或移除它們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用中移除使用者。 |
| 4 |
輸入要新增的一個或多個使用者的電子郵件地址，或按一下使用者 ID 的 X 以將使用者從試用中移除。 然後按一下「儲存」。 |
從試用轉移到生產
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區段中，按一下「移至生產」。 |
| 4 |
確認您要將所有使用者移至生產中。 |
無需轉到生產即可結束試用
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在 [停用] 區段中，按一下 [停用]。 |
| 4 |
確認您要停用該服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點：
對於 VMware 部署：
針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用部署中 Hypervisor 的管理介面來尋找並關閉 HDS 虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
使用部署中 Hypervisor 的管理介面，尋找並刪除 HDS 虛擬機器。 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
|
分離組態 ISO 檔案。
對於 VMware 部署：
針對 NFVIS 部署：
對於努塔尼克斯部署：
|
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
功能 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集 (透過在 Control Hub 中刪除或關閉所有節點)、遺失組態 ISO 檔或失去對金鑰儲存庫資料庫的存取權，則 Webex App 使用者將無法再使用其「人員」清單下使用您的 KMS 金鑰建立的空間。 這適用於試用和生產部署。 我們目前沒有解決方法或修正此問題，並請您在處理有效的使用者帳戶後不要關閉您的 HDS 服務。
-
具有與 KMS 現有 ECDH 連線的用戶端會維持該連線一段時間（可能是一小時）。 當使用者成為混合式資料安全試用版的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。 或者，使用者可以登出並重新登入 Webex App 應用程式，以更新應用程式連絡的加密金鑰的位置。
將試用版移至組織的生產階段時，也會發生相同的行為。 所有現有 ECDH 連線到先前的資料安全服務的非試用用戶將繼續使用這些服務，直到 ECDH 連線重新談判（通過逾時或登出並重新登入）為止。
在 NFVIS 上部署和設定 HDS
請遵循下列程序，在 NFVIS 虛擬化管理程式上部署 HDS。 此程序包括安裝 HDS OVA、設定虛擬機器、安裝組態 ISO 以及驗證部署。
在 NFVIS 上安裝硬碟主機 OVA
在開始之前
- 完成混合式資料安全先決條件並下載最新的 HDS OVA。 使用追蹤的格式
hds-<DD-MMM-YYYY>.ova重新命名檔案；例如，hds-26-aug-2026.ova。 - 建立 HDS 組態 ISO 並安全地儲存。 ISO 包含主加密金鑰。
- 收集節點的靜態 IP 位址、子網路遮罩、閘道、DNS 伺服器、NTP 伺服器和 NFVIS 網路名稱。
- 確認您擁有 NFVIS 管理員存取權限和足夠容量，以便每個 HDS 節點至少配置 4 個 vCPU、8 GB 記憶體和 30 GB 的儲存空間。
| 1 |
登入 NFVIS 介面，然後瀏覽至「組態」>「虛擬機器」>「影像」>「影像儲存庫」。 |
| 2 |
選擇「本地」選項，然後上傳已重新命名的 HDS OVA 文件（例如，hds-26 日-2021 年 8 月 26 日-ova）。 |
| 3 |
將虛擬機器工作負載類型設為呼叫，將虛擬機器類型設定為 ECP/VIDEO MESH，然後選取「上傳檔案」。 |
| 4 |
監控上傳進度，直到完成。 |
| 5 |
確認上傳的 OVA 已標記為作用中，且 NFVIS 已成功建立關聯的自訂 OVA 設定檔。 |
在 NFVIS 上設定混合式資料安全虛擬機器
| 1 |
切換作業選項至組態 > 部署，然後從「選取虛擬機器」功能表中選取 ECP/視訊網格。 |
| 2 |
輸入唯一的虛擬機器名稱，選取先前上傳的 HDS 映像，然後在「部署詳細資訊」區段中選擇對應的自訂 OVA 設定檔。 |
| 3 |
選取 [部署] 並等待成功部署通知。 |
| 4 |
切換作業選項至組態 > 虛擬機器 > 管理，以確認新的 HDS 虛擬機器是否處於作用中狀態。 |
| 5 |
返回組態 > 部署，選取 HDS 虛擬機器，然後使用「網路介面」 下拉式清單將其附加到所需的 WAN 網路。 |
| 6 |
選取「部署」以套用網路組態變更。 |
上傳並掛載 HDS 組態 ISO
| 1 |
在繼續前，請確定 HDS 組態 ISO 檔案已透過「組態」>「虛擬機器」>「影像儲存庫」上傳至映像儲存庫。 |
| 2 |
透過組態 > 虛擬機器 > 管理開啟 HDS 虛擬機器的終端機，並使用預設認證執行初始登入。 Username: admin
Password: ciscosystems
|
| 3 |
出現提示時變更管理員認證。 |
| 4 |
使用「編輯組態」選項設定節點的靜態 IP 位址、子網路遮罩、閘道、DNS 和 NTP 設定。 |
| 5 |
關閉 HDS 虛擬機器以便於安裝過程。 |
| 6 |
開啟虛擬機器動作功能表，選取 CD-ROM，然後選擇 HDS 組態 ISO 以將其附加到虛擬機器。 |
| 7 |
開啟虛擬機器電源，並確認已安裝組態 ISO 後成功啟動。 |
下一步
如果需要，請繼續執行設定代理整合的節點，然後繼續註冊叢集中的第一個節點。
在努塔尼克斯上部署和設定 HDS
請遵循下列程序，在 Nutanix 虛擬化管理程式上部署 HDS。 此程序包括安裝 HDS OVA、設定虛擬機器、安裝組態 ISO 以及驗證部署。
在努塔尼克斯上安裝 HDS 主機 OVA
使用此程序將 HDS OVA 檔案匯入 Nutanix 中。
| 1 |
下載最新的 HDS OVA。 |
| 2 |
在 PRISM 中心中，移至基礎結構 > 運算 > OVA。 |
| 3 |
選取「上傳 OVA」。 |
| 4 |
選擇 OVA 來源並選取目標叢集。 |
| 5 |
給上傳的 OVA 一個獨特且可識別的名稱。 包括版本或上傳日期，以便管理員可以將其與舊的 OVA 版本區分。 |
| 6 |
完成上傳。 |
| 7 |
在 OVA 清單中，確認磁碟格式顯示為 VMDK。 |
在 Nutanix 上建立混合式資料安全虛擬機器
使用此程序來建立 HDS 虛擬機器。
| 1 |
在 PRISM 中心中，移至基礎結構 > 運算 > OVA。 |
| 2 |
選取已成功上傳的 HDS OVA。 |
| 3 |
選取「部署為虛擬機器」。 |
| 4 |
輸入唯一、可識別的虛擬機器名稱，然後選取目標叢集。 |
| 5 |
確認 OVA 已填入下列虛擬機器屬性：
|
| 6 |
按一下下一步。 「資源」 精靈會開啟。 |
| 7 |
在「資源 > 磁碟」表格中，確認連接的磁碟大小為 30 GB。 |
| 8 |
使用「附加到子網路」選項連接正確的子網路或 VLAN，並將網路連線狀態設定為已連線。 如果精靈包含顯示虛擬機器網路找不到網路的空白或預設網路項目，請移除該項目。 即使已貼附正確的子網路之後，無效的項目也會阻止精靈繼續執行。 |
| 9 |
選擇 UEFI 作為 BIOS 模式，然後按一下「下一步」。 系統會開啟「管理精靈」。 |
| 10 |
除非組織要求類別，否則將「類別」保留空白。 |
| 11 |
選取適當的時區。 |
| 12 |
在訪客自訂卡上選取「無自訂」，然後按一下「下一步」。 |
| 13 |
檢閱設定，然後選取「建立虛擬機器」。 |
上傳並掛載 HDS 組態 ISO
| 1 |
在 PRISM 中心中，移至基礎結構 > 運算 > 虛擬機器。 |
| 2 |
選取已部署的 HDS 虛擬機器。 在 [摘要] 索引標籤上，選取 [電源操作] > [電源開啟]。 等待幾分鐘，以便虛擬機器啟動。 |
| 3 |
按一下啟動主控台。 使用預設認證執行初始登入。 Username: admin
Password: ciscosystems
|
| 4 |
出現提示時變更管理員認證。 |
| 5 |
使用「編輯組態」選項設定節點的靜態 IP 位址、子網路遮罩、閘道、DNS 和 NTP 設定。 |
| 6 |
連接 ISO 之前，請先關閉 HDS 虛擬機器的電源。 移至基礎結構 > 運算 > 虛擬機器，然後選取適用的 HDS 虛擬機器。 在 [摘要] 索引標籤上，選取 [電源操作] > [關閉電源]，然後等待虛擬機器完全停止。 |
| 7 |
開啟虛擬機器的磁碟標籤。 |
| 8 |
如果已附加舊的組態 ISO，請只選取其 CD-ROM 項目，然後按一下刪除。 在 [磁碟] 索引標籤上，如果任何虛擬磁碟項目的 [來源] 欄位為空，請選取對應的核取方塊，然後按一下 [刪除]。 |
| 9 |
選取「附加磁碟」並設定下列值：
|
| 10 |
儲存組態並確認新 ISO 是否顯示為虛擬機器的附加光碟。 |
| 11 |
在虛擬機器的摘要標籤上，選取「電源操作」>「電源開啟」，並確定至少 15 分鐘內沒有警示。 |
下一步
如果需要，請繼續執行設定代理整合的節點，然後繼續註冊叢集中的第一個節點。
在支援的超級瀏覽器之間移轉 HDS 節點
使用此程序可將 HDS 節點從一個支援的虛擬化管理器移動到另一個。 現有的 HDS 虛擬機器不會直接在虛擬化程式之間移轉。 相反，請在目標虛擬主控器上部署替代節點，並將其註冊到現有或新的 HDS 叢集中。
在開始之前
- 備份 HDS 資料庫和目前組態 ISO。
- 確認目標虛擬主機和虛擬主機符合 HDS 部署需求。
- 確認現有的 HDS 叢集是否健全，並且在您取代節點時，剩餘的節點可以繼續處理流量。
- 判斷每個替代節點是否重複使用來源節點的 IP 位址和 FQDN，還是使用新的網路設定。
- 為替代節點使用目前組態 ISO 和現有的 HDS 資料庫。
如果移動也變更作用中的資料中心、資料庫伺服器或 HDS 組態，請參閱變更用於災難復原的節點組態和待命資料中心，然後再繼續。
| 1 |
在來源虛擬化程式管理程式上選取一個要取代的 HDS 節點。 保持所有其他節點運行並註冊。 |
| 2 |
準備替代節點的網路組態：
如果它們使用相同的網路組態，請勿同時執行來源與替代節點。 |
| 3 |
在目標超級管理程式上建立並設定替代虛擬機器。 使用最新的 HDS OVA，並遵循該超級管理程序的適用部署程序。 |
| 4 |
根據步驟 2 中選取的組態設定替代虛擬機器的網路設定。 請遵循目標虛擬化管理程式的設定說明。 |
| 5 |
附加目前的 HDS 組態 ISO。 如果您的部署使用 Proxy，請按照設定 HDS 節點以進行 Proxy 整合中所述設定代理和信任存放區。 |
| 6 |
將取代節點註冊至現有叢集或新叢集。 請參閱建立和註冊更多節點。 |
| 7 |
確認替代節點是否健全、已連線至 Webex 雲端，並處理 HDS 流量。 在繼續前解決任何警報。 |
| 8 |
如果來源節點仍在執行，因為替換使用新的網路組態，請關閉電源並取消註冊來源節點。 請參閱移除節點。 |
| 9 |
針對來源虛擬化程式管理程式上的每個剩餘節點重複這些步驟。 在叢集健全狀態之前，請勿取代其他節點。 |
| 10 |
在所有替代節點都穩定且不再需要復原之後，請從來源虛擬化程式刪除原始虛擬機器。 如果您暫時保留原始虛擬機器，請將其關閉電源並卸載其組態 ISO。 |
下一步
註冊替代節點後，請確認它們是否健全，並且 HDS 部署正在處理流量。 如果部署正常，請移除所有仍在原始虛擬化管理程式上註冊的來源節點。 如果適用，請依照上述步驟取代災難復原設定中的節點。
使用 Podman 桌面執行 HDS 安裝工具
Podman 是一個免費的開源容器管理工具，它提供了一種運行，管理和創建容器的方法。 Podman 桌面可從 https://podman-desktop.io/downloads 下載。
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 要訪問它，請在該計算機上下載並運行 Podman。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 安裝工具在您環境中的 Proxy 後面執行，請在步驟 5 中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定 (伺服器、連接埠、認證)。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
停用雲端代理程式
雲端代理程式 (c-agent) 是受信任的 Webex 服務帳戶，可代表使用者透過委派存取對 HDS 執行作業，以增強整體使用者體驗。 停用雲端代理程式會阻止 Webex 服務存取內部部署 HDS 金鑰。
停用雲端代理程式會導致 Webex 應用程式空間中遺失會議後記錄、記錄、檔案預覽以及自動反惡意程式碼掃描等功能。
請依照下列步驟停用 HDS 部署的雲端代理程式。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定。 |
| 3 |
在 [進階設定] 頁面上，新增下列組態以停用雲端代理程式。 這將確保不允許雲端代理程式處理 HDS 流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
針對 HDS 部署中的每個節點重複此程序。 檢查下列項目的 syslogs，確認雲端代理程式是否已停用：「雲端代理程式更新已停用」。 |
使用 OpenSSL 產生一個 PKCS12 文件
在開始之前
-
OpenSSL 是一種工具，可用來製作 PKCS12 文件以適當的格式，以便在 HDS 設置工具中加載。 還有其他方法可以做到這一點，我們不支持或推廣一種方式以另一種方式。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為準則，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。 繼續前先了解這些要求。
-
在支援的環境中安裝 OpenSSL。 如需軟體和文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您從 Certificate Authority (CA) 收到伺服器憑證時，請啟動此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其另存為 |
| 2 |
將憑證顯示為文字，並驗證詳細資訊。
|
| 3 |
使用文字編輯器來建立稱為的憑證套裝檔案
|
| 4 |
使用友好名稱建立 .p12 檔案。
|
| 5 |
檢查伺服器憑證詳細資訊。 |
下一步
返回「完成混合資料安全性的先決條件」。 您將在建立 HDS
主機的組態 ISO 中使用該hdsnode.p12檔案及您為其設定的密碼。
您可以在原始憑證到期時重複使用這些檔案來要求新 的憑證。
HDS 節點與雲端之間的流量
輸出指標收集流量
混合式資料安全節點會將某些測量結果傳送至 Webex 雲端。 其中包括堆積最大值、使用堆積、CPU 負載和執行緒計數的系統測量結果；同步和非同步執行緒的測量結果；涉及加密連線臨界值、延遲或請求佇列長度的警示測量結果；資料存放區的測量結果；以及加密連線測量結果。 節點通過頻外（與請求分開）通道傳送加密的金鑰材料。
輸入流量
混合式資料安全節點會從 Webex 雲端接收下列類型的輸入流量：
-
來自由加密服務路由的用戶端的加密要求
-
升級節點軟體
設定 Squid Proxy 以實現混合資料安全性
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
已進行的變更 |
|---|---|
| 二零二六年十月一日 | |
| 二零二六年九月二十一日 |
|
| 二零二六年九月七日 |
|
| 二零二六年八月二十八日 |
|
| 二零二六年七月二十九日 |
|
| 二零二六年七月二日 |
|
| 二零二六年六月二十三日 |
|
| 二零二六年六月一日 | |
| 2026 年 4 月 16 日 |
|
| 2026年3月25日 |
|
|
二零二五年十二月五日 |
|
|
二零二五年五月八日 |
|
|
二零二五年三月三日 |
|
|
二零二五年一月三十日 |
|
|
二零二五年一月七日 |
|
|
二零二三年十月二十日 |
|
|
二零二三年八月七日 | |
|
二零二三年五月二十三日 |
|
|
二零二年十二月六日 |
|
|
二零二年十一月二十三日 | |
|
2021 年 10 月 13 日 |
Docker 桌面需要執行安裝程式，才能 安裝 HDS 節點。 請參閱 Docker 桌面需求。 |
|
二零二一年六月二十四日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來要求 另一個憑證。 如需詳細資訊，請參閱使用 OpenSSL 產生 PKCS12 檔案。 |
| 二零二一年四月三十日 |
將本機硬碟空間的虛擬機器需求變更為 30 GB。 如需 詳細資訊，請參閱虛擬主機需求。 |
|
二零二一年二月二十四日 |
HDS 安裝工具現在可以在代理伺服器後面執行。 如需詳細資訊，請參閱建立 HDS 主機的組態 ISO。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛載的 ISO 檔案的情況下執行。 如需詳細資訊，請參閱 (選擇性) HDS 組態後卸載 ISO。 |
|
二零二一年一月十一日 |
新增 HDS 安裝工具和代理伺服器的資訊，以建立 HDS 主機組態 ISO。 |
|
二零二零年十月十三日 |
更新了下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新建立 HDS 主機的組態 ISO，並使用 FedRAMP 環境的指令變更節點組態。 |
|
2020 年 8 月 14 日 | |
|
二零二零年八月五日 |
已更新測試您的混合資料安全部署是否有記錄訊息中的變更。 更新虛擬主機需求以移除主機數目上限。 |
|
2020 年 6 月 16 日 | |
|
2020 年 6 月 4 日 |
已更新建立 HDS 主機的組態 ISO，以便在您可能設定之進階 設定中的變更。 |
|
2020 年 5 月 29 日 |
更新了為 HDS 主機建立組態 ISO，以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他澄清一起使用。 |
|
5 月 5，2020 |
更新虛擬主機需求，以顯示 ESXi 6.5 的新需求。 |
|
二零二零年四月二十一日 |
使用新的美洲 CI 主機更新了外部連線需求。 |
|
二零二零年四月一日 |
更新了外部連線需求，其中包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 已更新建立 HDS 主機的組態 ISO，其中包含 HDS 設定工具中新選用的 進階設定畫面的資訊。 |
| 2020年2月4日 | 更新代理伺服器需求。 |
| 二零一九年十二月十六日 | 澄清在 Proxy 伺服器需求中工作的封鎖外部 DNS 解析模式的要求。 |
| 二零一九年十一月十九日 |
在下列各節中新增有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時，為節點設定網路設定，而非之後。 相應地更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。 此選項可能無法在較早版本中使用。 |
|
二零一九年九月六日 |
將 SQL 伺服器標準新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 新增設 Squid Proxy 用於混合資料安全性附錄，其中包含有關設定 Squid 代理以忽略網路通訊端流量以進行正確操作的指引。 |
| 二零一九年八月二十日 |
新增並更新區段，以涵蓋與 Webex 雲端的混合資料安全節點通訊的代理支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性的 Proxy 支援與 Webex 視訊網格說明文章。 |
| 二零一九年六月十三日 | 如果您的組織使用目錄同步處理，更新了試用到生產工作流程，提醒您在開始試用之前同步化HdsTrialGroup群組物件。 |
| 二零一九年三月六日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 二零一八年十一月五日 |
|
| 二零一八年十月十九日 | |
|
二零一八年七月三十一日 |
|
| 二零一八年五月二十一日 |
更改了術語以反映思科 Spark 的重新品牌：
|
| 二零一八年四月十一日 |
|
| 二零一八年二月二十二日 | |
| 二零一八年二月十五日 |
|
| 二零一八年一月十八日 |
|
|
二零一七年十一月二日 |
|
|
二零一七年八月十八日 |
首次出版 |
混合資料安全性概觀
從第一天起，數據安全一直是設計 Webex 應用程式的主要焦點。 這種安全性的基石是端到端內容加密，由 Webex 應用用戶端與金鑰管理服務 (KMS) 交互啟用。 KMS 負責創建和管理用戶端用於動態加密和解密消息和檔的加密金鑰。
默認情況下，所有 Webex App 客戶都會使用存儲在雲 KMS 中的動態密鑰獲得端到端加密，位於 Cisco 的安全領域。 混合數據安全將 KMS 和其他與安全相關的功能移動到您的企業數據中心，因此除了您之外，沒有人持有加密內容的密鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
不支援從混合式資料安全性 (HDS) 移轉至 Webex 雲端 KMS。 停用 HDS 將導致對先前使用這些金鑰加密的內容和數據丟失的存取權。 您必須保留 HDS 才能保留對現有加密內容的存取權。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合式資料安全性的要求
Cisco Webex授權要求
若要部署混合式資料安全性：
-
您必須擁有專業組合包Cisco Webex Control Hub。 請參閱 https://www.cisco.com/go/pro-pack。)
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker 桌面執行安裝程式。 Docker 最近更新了他們的授權模式。 您的組織可能需要 Docker 桌面的 付費訂閱。 有關詳細信息，請參閱 Docker 部落格文章「Docker 正在更新和擴展我們的產品 訂閱」。
沒有 Docker 桌面授權的客戶可以使用 Podman Desktop 等開放原始碼容器管理工具來執行、管理和建立容器。 有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 證書要求
憑證鏈必須符合下列要求：
|
需求 |
詳細資料 |
|---|---|
|
默認情況下，我們信任 Mozilla 列表中的 CA（WoSign 和 StartCom 除外），位於 https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要可連接或是現場主持人。 我們建議您使用反映您組織的名稱，例如， CN 不得包含 * (萬用字元)。 CN 用於驗證 Webex 應用程式用戶端的混合資料安全節點。 叢集中的所有混合資料安全節點都使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是在 x.509v3 SAN 欄位中定義的任何網域。 使用此憑證註冊節點後，我們不支援變更 CN 網域名稱。 選擇可套用於試用和生產部署的網域。 |
|
KMS 軟體不支援 SHA1 簽章，用於驗證與其他組織的 KMS 的連線。 |
|
您可以使用轉換器（例如 OpenSSL）來更改憑證的格式。 執行 HDS 安裝工具時，您需要輸入密碼。 |
| 只支援 RSA 憑證。 |
KMS 軟體不會強制金鑰使用或延伸金鑰使用限制。 某些憑證授權單位要求將延伸金鑰使用限制套用至每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合式資料安全節點的虛擬主機具有下列需求：
-
至少兩個獨立的主機（建議 3 台）放置在同一個安全資料中心
-
支持的超級監視器：
-
虛擬軟體 ESXi 7.0 或 8.0。
- 思科企業網路功能虛擬化基礎架構軟體 (NFVIS) 版本 26.2.1。
- 諾塔尼克斯 AOS 7.5.x 配備諾塔尼克斯 AHV 11.0 倍。
-
-
每部伺服器最少有 4 個 vCPU、8 GB 主記憶體、30 GB 本機硬碟空間。
資料庫伺服器需求
為金鑰儲存建立新資料庫。 請勿使用預設資料庫。 安裝後，HDS 應用程式會建立資料庫結構描述。
資料庫伺服器有兩個選項。 每個要求如下：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
|
|
至少 8 個 vCPU、16GB 主記憶體、足夠的硬碟空間和監控以確保不超過 (如果您想長時間執行資料庫而不需增加儲存空間，建議使用 2 TB) |
至少 8 個 vCPU、16GB 主記憶體、足夠的硬碟空間和監控以確保不超過 (如果您想長時間執行資料庫而不需增加儲存空間，建議使用 2 TB) |
HDS 軟體目前安裝下列驅動程式版本，以便與資料庫伺服器進行通訊：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
波斯特格雷斯 JDBC 驅動程序 42.2.5 |
SQL 伺服器 JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server 永遠開啟 (永遠開啟的容錯移轉叢集執行個體和永遠開啟可用性群組)。 |
針對微軟 SQL 伺服器執行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來取得 Microsoft SQL Server 上金鑰儲存庫資料庫的存取權，則您需要在環境中執行下列組態：
-
HDS 節點、Active Directory基礎架構和 MS SQL 伺服器都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀取/寫入存取權限。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 HDS 資料庫執行個體在 Microsoft SQL 伺服器上註冊為服務主體名稱 (SPN)。Active Directory 請參閱為 Kerberos 連線註冊服務主體名稱。
HDS 設置工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來訪問金鑰庫數據庫。 當使用 Kerberos 驗證要求存取時，他們會使用 ISO 組態中的詳細資訊來構建 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
連接埠 |
來自應用程序的方向 |
目的地 |
|---|---|---|---|---|
|
混合式資料安全節點 |
TCP |
443 |
輸出的 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
只要 NAT 或防火牆允許使用前表格中的網域目的地的必要輸出連線，混合式資料安全節點可與網路存取轉換 (NAT) 一起使用或防火牆後面。 對於輸入到混合資料安全節點的連線，不應從網際網路看到任何連接埠。 在資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的混合資料安全節點，以作管理目的。
共同識別 (CI) 主機的 URL 是特定於區域的。 這些是目前的 CI 主機：
|
地區 |
常見識別主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
代理伺服器需求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成混合式資料安全性的先決條件
| 1 |
請確定您的 Webex 組織已啟用 Pro Pack，並取得Cisco Webex Control Hub具有完整組織管理員權限的帳戶的認證。 請聯絡您的 Cisco 合作夥伴或客戶經理，以取得有關此程序的協助。 |
| 2 |
選擇 HDS 部署的網域名稱 (例如， |
| 3 |
準備要在叢集中設定為混合資料安全節點的相同虛擬主機。 您需要至少兩個獨立的主機 (建議 3 台) 放置在相同的安全資料中心中，這些主機符合虛擬主機需求中的要求。 |
| 4 |
根據資料庫伺服器需求，準備將作為叢集的金鑰資料儲存區的資料庫伺服器。 資料庫伺服器必須與虛擬主機一起放置在安全資料中心中。 |
| 5 |
若要快速災難復原，請在其他資料中心設定備份環境。 備份環境會反映虛擬機器和備份資料庫伺服器的生產環境。 例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定系統日誌主機，從叢集中的節點收集記錄檔。 收集其網路位址和系統日誌連接埠 (預設值為 UDP 514)。 |
| 7 |
為混合式資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。 至少，為防止無法復原的資料遺失，您必須備份為混合資料安全節點產生的資料庫和組態 ISO 檔。 由於混合式資料安全節點儲存用於加密和解密內容的金鑰，因此無法維護作業部署將導致該內容無法復原的遺失。 Webex App 用戶端快取其金鑰，因此停機可能不會立即發現，但隨著時間的推移會變得明顯。 雖然暫時停機是不可能預防的，但它們是可以恢復的。 但是，資料庫或組態 ISO 檔案的完全遺失 (無備份) 將導致客戶資料無法復原。 混合資料安全節點的操作員預期會維護資料庫和組態 ISO 檔案的頻繁備份，並準備重建混合資料安全性資料中心，如果發生嚴重故障。 |
| 8 |
請確保您的防火牆組態允許混合式資料安全節點的連線，如「外部連線需求」中所述。 |
| 9 |
在執行支援作業系統 (Microsoft Windows10 專業版或企業 64 位元或 Mac OSX 優勝美地 10.10.3 或更高版本) 的任何本機電腦上安裝 Docker (https://www.docker.com)，使用可以在 http://127.0.0.1:8080 存取它的網頁瀏覽器。 您可以使用 Docker 執行個體來下載並執行 HDS 安裝工具，該工具會建立 所有混合資料安全節點的本機組態資訊。 您的組織可能需要 Docker 桌面授權。 如需詳細資訊，請參閱 Docker 桌面需求。 若要安裝和執行 HDS 安裝工具，本機電腦必須具有「外部連線需求」中所述的連線能力。 |
| 10 |
如果您要將代理與混合式資料安全整合，請確定它符合 Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步處理，請在已呼Active Directory叫中建立群組 指定空間的按鍵由空間的創建者設定。 選取試驗使用者時，請記住，如果您決定永久停用混合資料安全部署，則所有使用者都會失去試驗使用者建立的空間內容的存取權。 一旦用戶的應用程序刷新了緩存內容副本，損失就會變得明顯。 |
混合式資料安全部署工作流程
| 1 |
將 OVA 檔案下載到您的本機電腦以供以後使用。 |
| 2 |
使用 HDS 設定工具建立混合式資料安全節點的 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始組態。 僅 ESXi 7.0 和 8.0 支援 OVA 部署期間設定網路設定。 如需 NFVIS 部署，請參閱在 NFVIS 上安裝 HDS 主機 OVA。 有關 Nutanix 部署，請參閱在努塔尼克斯上安裝 HDS 主機 OVA |
| 4 | |
| 5 |
從您使用 HDS 設定工具建立的 ISO 組態檔來設定虛擬機器。 如需 NFVIS 部署，請參閱上傳和掛載 HDS 組態 ISO。 有關 Nutanix 部署，請參閱上傳和掛載 HDS 組態 ISO |
| 6 |
如果網路環境需要 Proxy 組態，請指定要用於節點的 Proxy 類型，並視需要將 Proxy 憑證新增至信任儲存區。 |
| 7 |
將虛擬機器與Cisco Webex雲端註冊為混合式資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下「服務」。 |
| 2 |
在「混合服務」區段中，找到混合式資料安全性卡，然後按一下「設定」。 如果 卡已停用或您看不到卡片，請聯絡 您的帳戶團隊或合作夥伴組織。 向他們提供您的帳戶號碼，並要求您 的組織啟用混合資料安全性。 若要尋找帳戶號碼，請按一下 組織名稱旁的右上角的齒輪。 您也可以隨時從「 設定」頁面的 「說明」部分下載 OVA。 在「混合資料安全性」卡上，按一下「編輯 設定」以開啟頁面。 然後，按一下 [ 說明] 區段中的 [下載混合資料安全 軟體]。 舊版本的軟體套件 (OVA) 將與最新的混合資料安全升級不相容。 這可能會導致升級應用程式時出現問題。 確保您下載 OVA 文件的最新版本。 |
| 3 |
選取「否」以 指示您尚未設定節點，然後 按一下「下一步」。 OVA 文件會自動開始
下載。 將檔案儲存到電腦上的某個
位置。
|
| 4 |
選擇性地按一下「開 啟部署指南」，檢查是否有 更新版本的本指南。 |
為 HDS 主機建立組態 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker 桌面授權，則可以使用 Podman 桌面執行 HDS 安裝工具，執行下列程序中的步驟 1 至 5。 有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器移至本地主機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，請輸入您的 Control Hub 客戶管理員登入認證，然後按一下「登入」以允許存取混合資料安全性所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在「ISO 匯入」 頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合 X.509 憑證要求中的要求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫地址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取 TLS 資料庫連線模式：
當您上傳根憑證 (如有必要) 並按一下繼續時，HDS 安裝工具會測試到資料庫伺服器的 TLS 連線。 此工具還會驗證憑證簽署者和主機名稱 (如果適用)。 如果測試失敗，工具會顯示描述問題的錯誤訊息。 您可以選擇是否忽略錯誤並繼續進行設置。 (由於連線差異，即使 HDS 設定工具機無法成功測試，HDS 節點也可能能夠建立 TLS 連線。) | ||||||||||
| 13 |
在「系統記錄檔」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
(選擇性) 您可以在進階設定中變更某些資料庫連線參數的預設值。 通常，這個參數是您可能需要變更的唯一參數： | ||||||||||
| 15 |
在「重設服務帳戶密碼」畫面上按一下「繼續」。 服務帳戶密碼的使用壽命為九個月。 當您的密碼即將到期或您想重置密碼以使先前的 ISO 檔案無效時，請使用此畫面。 | ||||||||||
| 16 |
按一下「下載 ISO 檔案」。 將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。 此檔案包含用於資料庫內容的主要加密金鑰。 僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉設定工具，請鍵入 |
下一步
備份組態 ISO 檔案。 您需要它來創建更多節點以進行恢復，或進行配置更改。 如果您丟失 ISO 文件的所有副本，則您也丟失了主鍵。 無法從 PostgreSQL 或微軟 SQL 伺服器資料庫中恢復金鑰。
我們永遠不擁有此密鑰的副本，如果您丟失它，也無法解決。
安裝硬碟主機 OVA
如果您要在 NFVIS 超級管理器上部署 HDS，請參閱在 NFVIS 上安裝 HDS 主機 OVA 一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱在 Nutanix 上安裝 HDS 主機 OVA 部分。
| 1 |
使用電腦上的 VMware vSphere 用戶端登入 ESXi 虛擬主機。 |
| 2 |
選取「檔案」>「部署 OVF 範本」。 |
| 3 |
在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下「下一步」。 |
| 4 |
在「選取名稱和資料夾」頁面上，輸入節點的虛擬機器名稱 (例如，"HDS_Node_1「)，選擇虛擬機器節點部署可以位置的位置，然後按一下下一步。 |
| 5 |
在 [選取運算資源] 頁面上，選擇目的地運算資源，然後按一下 [下一步]。 執行驗證檢查。 完成後，會出現範本詳細資訊。 |
| 6 |
驗證範本詳細資訊，然後按下一步。 |
| 7 |
如果系統要求您在 [組態] 頁面上選擇資源組態，請按一下 [4 CPU]，然後按 [下一步]。 |
| 8 |
在 [選取儲存區] 頁面上，按一下 [下一步] 以接受預設磁碟格式和虛擬機器儲存區原則。 |
| 9 |
在 「選取網路」頁面上，從項目清單中選擇網路選項，以提供所需的虛擬機器連線。 |
| 10 |
在「自訂範本」 頁面上，設定下列網路設定：
如果偏好，您可以跳過網路設定組態，然後依照設定混合資料安全虛擬機器中的步驟，從節點主控台設定設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 和 8.0 進行測試。 此選項可能無法在較早版本中使用。 |
| 11 |
在節點虛擬機器上按一下滑鼠右鍵，然後選擇源。 混合式資料安全軟體會以客體形式安裝在虛擬機器主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 節點容器出現之前，您可能會遇到幾分鐘的延遲。 首次開機時，主控台上會出現橋接防火牆訊息，在此期間您無法登入。 |
設定混合式資料安全虛擬機器
使用此程序可首次登入混合式資料安全節點虛擬機器主控台，並設定登入認證。 如果您在 OVA 部署時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
如果您要在 NFVIS 超級管理程式上部署 HDS，請參閱在 NFVIS 上設定混合式資料安全虛擬機器一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱在 Nutanix 上建立混合式資料安全虛擬機器一節。
| 1 |
在 VMware vSphere 用戶端中，選取您的混合資料安全節點虛擬機器，然後選取 [主控台] 索引標籤。 虛擬機器會啟動並出現一個登入提示。 如果登入提示未顯示，請按 Enter。
|
| 2 |
使用下列預設登入和密碼登入並變更憑證： 由於您是第一次登入虛擬機器，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA 中設定網路設定，請跳過此程序的其餘步驟。 否則，在主功能表中，選取「編輯組態」 選項。 |
| 4 |
設定具有 IP 位址、遮罩、閘道和 DNS 資訊的靜態組態。 您的節點應具有內部 IP 位址和 DNS 名稱。 不支援 DHCP。 |
| 5 |
(選擇性) 如果需要，變更主機名稱、網域或 NTP 伺服器，以符合您的網路原則。 您不需要將網域設定為與您用來取得 X.509 憑證的網域相符。 |
| 6 |
儲存網路組態並重新啟動虛擬機器，以便變更生效。 |
上傳並掛載 HDS 組態 ISO
如果您要在 NFVIS 超級管理器上部署 HDS，請參閱上傳和掛載 HDS 組態 ISO 一節。
如果您要在 Nutanix 超級管理器上部署 HDS，請參閱上傳和掛載 HDS 組態 ISO 部分。
在開始之前
由於 ISO 檔案包含主金鑰，因此只應在「需要知道」的基礎上公開它，以供混合式資料安全虛擬機器和任何需要進行變更的管理員存取。 請確定只有這些管理員可以存取資料存放區。
| 1 |
從您的計算機上傳 ISO 文件： |
| 2 |
掛載 ISO 檔案： |
下一步
如果您的 IT 原則需要，您可以選擇性地在所有 節點接收組態變更後取消掛載 ISO 檔案。 如需詳細資訊，請參閱 (選擇性) HDS 組態後卸載 ISO。
設定 HDS 節點以進行代理整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立指定節點的叢集。 叢集包含一個或多個部署的節點以提供備援。
在開始之前
-
一旦開始註冊節點，您必須在 60 分鐘內完成它，否則必須重新開始。
-
確保瀏覽器中的任何彈出式視窗封鎖程式已停用，或允許 admin.webex.com 發生例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到混合式資料安全性，然後按一下「設定」。 便會顯示「註冊混合資料安全節點」頁面。
|
| 4 |
選取「是」以指示您已設定節點並已準備好註冊它，然後按一下「下一步」。 |
| 5 |
在第一個欄位中，輸入要指定混合資料安全節點的叢集名稱。 我們建議您根據叢集節點的地理位置命名叢集。 例如：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完全合格網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在設定混合資料安全虛擬機器中使用的 IP 位址或主機名稱和網域相符。 會出現一則訊息，指出您可以將節點註冊至 Webex。
|
| 7 |
按一下「移至節點」。 |
| 8 |
在警告訊息中按一下「繼續」。 幾分鐘後，您將重新導向到 Webex 服務的節點連線測試。 如果所有測試都成功，則會顯示「允許存取混合資料安全節點」頁面。 在此處，您確認您要授與 Webex 組織存取節點的權限。
|
| 9 |
勾選 [允許存取混合資料安全節點] 核取方塊，然後按一下 [繼續]。 您的帳戶已經驗證，並且「註冊完成」訊息表示您的節點現在已註冊到 Webex 雲端。
|
| 10 |
按一下連結或關閉標籤以返回「控制中心 混合資料安全性」頁面。 在「混合資料安全性」頁面上，會顯示包含您註冊之節點的新叢集。 節點將自動從雲端下載最新軟體。
|
建立和註冊更多節點
目前，您在「完成混合資料安全性先決條件」中建立的備份虛擬機器是僅在災難復原時使用的待命主機；在此之前，它們才會在系統註冊。 如需詳細資訊，請參閱使用待命資料中心的災難復原。
在開始之前
-
一旦開始註冊節點，您必須在 60 分鐘內完成它，否則必須重新開始。
-
確保瀏覽器中的任何彈出式視窗封鎖程式已停用，或允許 admin.webex.com 發生例外狀況。
| 1 |
從 OVA 建立新虛擬機器，重複安裝 HDS 主機 OVA 中的步驟。 |
| 2 |
在新虛擬機器上設定初始組態，重複設定混合式資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複上傳和掛載 HDS 組態 ISO 中的步驟。 |
| 4 |
如果您要為部署設定 Proxy，請根據需要針對新節點重複設定 HDS 節點以進行 Proxy 整合中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。 請注意，直到您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
設定混合式資料安全叢集之後，您可以啟動試驗、將使用者新增至其中，並開始使用它來測試和驗證部署，以準備移至生產階段。
在開始之前
| 1 |
如果適用，請同步 如果您的組織為使用者使用目錄同步處理，您必須先選取 |
| 2 |
開始試用。 在您執行此工作之前，節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查主要請求是否傳遞到混合式資料安全部署。 |
| 4 |
檢查狀態，並設置警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用
在開始之前
如果您的組織針對使用者使用目錄同步處理，您必須先選取HdsTrialGroup群組物件以同步至雲端，然後才能開始組織的試用版。 如需指示，請參閱思科目錄連接器的部署指南。
| 1 |
登入 https://admin.webex.com，然後選取 [服務]。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區段中，按一下「開始試用」。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者，然後輸入一或多個使用者的電子郵件地址，以試驗使用您的混合資料安全節點進行加密和索引服務。 (如果您的組織使用目錄同步處理，Active Directory請使用它來管理試用群組 |
測試您的混合式資料安全部署
在開始之前
-
設定混合式資料安全部署。
-
啟動試用版，並新增多個試用使用者。
-
請確定您有系統日誌的存取權，以驗證金鑰要求是否已傳遞至混合式資料安全部署。
| 1 |
指定空間的按鍵由空間的創建者設定。 以試驗使用者之一身分登入 Webex 應用程式，然後建立空間並邀請至少一位試驗使用者和一個非飛行員使用者。 如果停用「混合資料安全性」部署，一旦取代用戶端快取的加密金鑰副本，則試驗使用者建立的空間中的內容就無法再存取。 |
| 2 |
將訊息傳送到新空間。 |
| 3 |
檢查系統日誌輸出，以確認金鑰請求是否傳遞到您的混合式資料安全部署。 |
解譯 HDS 記錄檔和了解代理程式標籤
HDS 日誌提供有關 KMS 請求的詳細信息。 這些記錄檔包含各種欄位，可協助識別請求的性質和相關的身分。 了解這些領域對於正確解釋活動和信任的內部作業至關重要。
術語
為確保檢閱 HDS 記錄時清晰，瞭解下列術語非常重要：
| 術語 | 定義 |
|---|---|
| 服務帳戶 | 允許 Webex 服務安全地執行授權操作的服務識別。 |
| 代理 | 用於在 HDS 環境中執行自動化作業的服務實體或服務帳戶識別。 |
| 代理商標籤 | HDS 記錄檔中包含的標籤，可識別傳入要求的特定來源和類型，從而實現有效的存取控制稽核。 |
| 委派存取權 | 在該使用者的權限內針對特定使用者提出要求的授權服務帳戶。 顯示為委派請求：agent -> userid。 |
在此前後關聯中，「代理程式」一詞特別指的是 HDS 服務身分。 這些與其他 Webex 功能中使用的 AI 驅動代理程式無關。
只有當要求源自以下地方時才會提供：
- 組織中已驗證的使用者，或
- 位於您組織中且已授權的服務帳戶。
記錄欄位概觀
| 欄位 | 它代表什麼 |
|---|---|
| 時間戳記 | 作業的日期和時間。 |
| 公里數據。方法 | 執行的 KMS 作業（例如擷取）。 |
| 公里數據。奧格爾德 | 組織識別碼。 |
| KMS. 資料。HTTP 代理程式 | 提出要求的客戶或服務。 |
| WEBEX_TRACKINGID | 請求的唯一追蹤識別碼。 |
| KMS. 數據。自由主機/公里數據。URI | 要求目標的主機和資源。 |
| 公里數據。用戶端 | 執行請求的身分，包括代理程式標籤。 |
| 公里。回應。成功 | 指出請求是否成功。 |
請求類型-快速參考
| 標籤登入記錄 | 代理商標籤 | 它代表什麼 | 典型操作 |
|---|---|---|---|
| 使用者類型：用戶代理 | 使用者代理 | 與使用者工作流程相關的信任服務帳戶，並且涵蓋您的組織範圍。 | 建立/管理使用者處理程序的金鑰。 |
| o 代理-<id>> 用戶 ID <id> | 組織代理 | 使用委派存取權限的組織層級信任服務帳戶。 | 合規主任提取 Webex 資料、行事曆整合。 |
| c 代理-<id>> 用戶 ID <id> | 雲端代理 | 針對特定使用者執行委派請求的 Webex 服務。 | 病毒掃描，內容預覽，轉錄。 |
| c 代理 <id> | 雲端代理 | 執行委派請求的 Webex 服務。 | ECDHE/會話鍵。 |
| 最終使用者 UUID | - | 已驗證的終端使用者與 HDS 互動。 | 擷取自己的金鑰的使用者。 |
請求類型-詳細
代理程式標籤會對要求來源進行分類，並協助確定適當的存取控制。 下列範例演示了多個請求類型以及與它們相關聯的代理程式標籤。
-
使用者代理程式 (使用者代理)：
這些是與特定使用者工作流程相關聯的受信任 Webex 服務帳戶，並且適用於客戶組織的範圍。 它們通常會在服務代表使用者工作流程建立和管理金鑰時使用。
範例記錄：
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>主要指標：範例記錄檔會顯示為 Webex 服務執行資源收集作業的使用者代理程式 (
userAgent)。 -
組織代理 (o 代理)：
這些受信任的 Webex 服務帳戶獲授權代表 HDS 中的使用者執行委派作業。 根據客戶組織的範圍，這些帳戶執行組織層級作業。 此功能支援多項功能，例如允許合規主任搜尋和擷取 Webex 通訊資料，確保組織符合法規、安全性和資料隱私標準的一致性。
範例記錄：
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>關鍵指標：範例記錄檔會顯示一個組織代理程式 (
o-agent 9[~]c) 代表使用者 (4[~]b) 擷取 Webex 服務的金鑰。 - 雲端代理程式（c 代理程式）：
這些受信任的 Webex 服務帳戶獲授權代表使用者透過委派存取對 HDS 執行作業。 它們支持基本功能-例如會議後的錄音，成績單，反惡意軟件掃描和文件預覽，可增強整體用戶體驗。
雖然可以透過修改 ISO 來停用 Cloud 代理程式，但客戶應該注意，這會導致 Webex 應用程式空間中的會議後記錄、文件預覽、檔案預覽以及自動反惡意程式碼掃描等功能遺失。 如需詳細資訊，請參閱停用雲端代理程式一節。
範例記錄：
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>關鍵指示器：範例記錄檔會顯示雲端代理程式 (
c-agent b[~]c) 代表 user (9[~]c) 擷取內容金鑰。 -
終端使用者直接互動：
經過驗證的使用者直接與 HDS 互動。
範例記錄：
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true關鍵指標：範例日誌顯示一般使用者 (
c[~]f) 正在擷取金鑰並直接與 HDS 互動。
監控混合式資料安全健康狀況
| 1 |
在控制中心中，從畫面左側的功能表中選取「服務」。 |
| 2 |
在「混合服務」區段中，找到混合式資料安全性，然後按一下設定。 系統會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一個或多個以逗號分隔的電子郵件地址，然後按 Enter。 |
從試用中新增或移除使用者
如果您從試用中移除使用者，則使用者的用戶端會要求從雲端 KMS 而不是您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要存儲在您的 KMS 中的金鑰，雲端 KMS 將代表使用者擷取金鑰。
如果您的組織使用目錄同步處理，請使用 Active Directory (而不是此程序) 來管理試用群組 HdsTrialGroup；您可以在 Control Hub 中檢視群組成員，但無法新增或移除它們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用中移除使用者。 |
| 4 |
輸入要新增的一個或多個使用者的電子郵件地址，或按一下使用者 ID 的 X 以將使用者從試用中移除。 然後按一下「儲存」。 |
從試用轉移到生產
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在「服務狀態」區段中，按一下「移至生產」。 |
| 4 |
確認您要將所有使用者移至生產中。 |
無需轉到生產即可結束試用
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下「設定」。 |
| 3 |
在 [停用] 區段中，按一下 [停用]。 |
| 4 |
確認您要停用該服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點：
對於 VMware 部署：
針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用部署中 Hypervisor 的管理介面來尋找並關閉 HDS 虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
使用部署中 Hypervisor 的管理介面，尋找並刪除 HDS 虛擬機器。 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
|
分離組態 ISO 檔案。
對於 VMware 部署：
針對 NFVIS 部署：
對於努塔尼克斯部署：
|
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
功能 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集 (透過在 Control Hub 中刪除或關閉所有節點)、遺失組態 ISO 檔或失去對金鑰儲存庫資料庫的存取權，則 Webex App 使用者將無法再使用其「人員」清單下使用您的 KMS 金鑰建立的空間。 這適用於試用和生產部署。 我們目前沒有解決方法或修正此問題，並請您在處理有效的使用者帳戶後不要關閉您的 HDS 服務。
-
具有與 KMS 現有 ECDH 連線的用戶端會維持該連線一段時間（可能是一小時）。 當使用者成為混合式資料安全試用版的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。 或者，使用者可以登出並重新登入 Webex App 應用程式，以更新應用程式連絡的加密金鑰的位置。
將試用版移至組織的生產階段時，也會發生相同的行為。 所有現有 ECDH 連線到先前的資料安全服務的非試用用戶將繼續使用這些服務，直到 ECDH 連線重新談判（通過逾時或登出並重新登入）為止。
在 NFVIS 上部署和設定 HDS
請遵循下列程序，在 NFVIS 虛擬化管理程式上部署 HDS。 此程序包括安裝 HDS OVA、設定虛擬機器、安裝組態 ISO 以及驗證部署。
在 NFVIS 上安裝硬碟主機 OVA
在開始之前
- 完成混合式資料安全先決條件並下載最新的 HDS OVA。 使用追蹤的格式
hds-<DD-MMM-YYYY>.ova重新命名檔案；例如，hds-26-aug-2026.ova。 - 建立 HDS 組態 ISO 並安全地儲存。 ISO 包含主加密金鑰。
- 收集節點的靜態 IP 位址、子網路遮罩、閘道、DNS 伺服器、NTP 伺服器和 NFVIS 網路名稱。
- 確認您擁有 NFVIS 管理員存取權限和足夠容量，以便每個 HDS 節點至少配置 4 個 vCPU、8 GB 記憶體和 30 GB 的儲存空間。
| 1 |
登入 NFVIS 介面，然後瀏覽至「組態」>「虛擬機器」>「影像」>「影像儲存庫」。 |
| 2 |
選擇「本地」選項，然後上傳已重新命名的 HDS OVA 文件（例如，hds-26 日-2021 年 8 月 26 日-ova）。 |
| 3 |
將虛擬機器工作負載類型設為呼叫，將虛擬機器類型設定為 ECP/VIDEO MESH，然後選取「上傳檔案」。 |
| 4 |
監控上傳進度，直到完成。 |
| 5 |
確認上傳的 OVA 已標記為作用中，且 NFVIS 已成功建立關聯的自訂 OVA 設定檔。 |
在 NFVIS 上設定混合式資料安全虛擬機器
| 1 |
切換作業選項至組態 > 部署，然後從「選取虛擬機器」功能表中選取 ECP/視訊網格。 |
| 2 |
輸入唯一的虛擬機器名稱，選取先前上傳的 HDS 映像，然後在「部署詳細資訊」區段中選擇對應的自訂 OVA 設定檔。 |
| 3 |
選取 [部署] 並等待成功部署通知。 |
| 4 |
切換作業選項至組態 > 虛擬機器 > 管理，以確認新的 HDS 虛擬機器是否處於作用中狀態。 |
| 5 |
返回組態 > 部署，選取 HDS 虛擬機器，然後使用「網路介面」 下拉式清單將其附加到所需的 WAN 網路。 |
| 6 |
選取「部署」以套用網路組態變更。 |
上傳並掛載 HDS 組態 ISO
| 1 |
在繼續前，請確定 HDS 組態 ISO 檔案已透過「組態」>「虛擬機器」>「影像儲存庫」上傳至映像儲存庫。 |
| 2 |
透過組態 > 虛擬機器 > 管理開啟 HDS 虛擬機器的終端機，並使用預設認證執行初始登入。 Username: admin
Password: ciscosystems
|
| 3 |
出現提示時變更管理員認證。 |
| 4 |
使用「編輯組態」選項設定節點的靜態 IP 位址、子網路遮罩、閘道、DNS 和 NTP 設定。 |
| 5 |
關閉 HDS 虛擬機器以便於安裝過程。 |
| 6 |
開啟虛擬機器動作功能表，選取 CD-ROM，然後選擇 HDS 組態 ISO 以將其附加到虛擬機器。 |
| 7 |
開啟虛擬機器電源，並確認已安裝組態 ISO 後成功啟動。 |
下一步
如果需要，請繼續執行設定代理整合的節點，然後繼續註冊叢集中的第一個節點。
在努塔尼克斯上部署和設定 HDS
請遵循下列程序，在 Nutanix 虛擬化管理程式上部署 HDS。 此程序包括安裝 HDS OVA、設定虛擬機器、安裝組態 ISO 以及驗證部署。
在努塔尼克斯上安裝 HDS 主機 OVA
使用此程序將 HDS OVA 檔案匯入 Nutanix 中。
| 1 |
下載最新的 HDS OVA。 |
| 2 |
在 PRISM 中心中，移至基礎結構 > 運算 > OVA。 |
| 3 |
選取「上傳 OVA」。 |
| 4 |
選擇 OVA 來源並選取目標叢集。 |
| 5 |
給上傳的 OVA 一個獨特且可識別的名稱。 包括版本或上傳日期，以便管理員可以將其與舊的 OVA 版本區分。 |
| 6 |
完成上傳。 |
| 7 |
在 OVA 清單中，確認磁碟格式顯示為 VMDK。 |
在 Nutanix 上建立混合式資料安全虛擬機器
使用此程序來建立 HDS 虛擬機器。
| 1 |
在 PRISM 中心中，移至基礎結構 > 運算 > OVA。 |
| 2 |
選取已成功上傳的 HDS OVA。 |
| 3 |
選取「部署為虛擬機器」。 |
| 4 |
輸入唯一、可識別的虛擬機器名稱，然後選取目標叢集。 |
| 5 |
確認 OVA 已填入下列虛擬機器屬性：
|
| 6 |
按一下下一步。 「資源」 精靈會開啟。 |
| 7 |
在「資源 > 磁碟」表格中，確認連接的磁碟大小為 30 GB。 |
| 8 |
使用「附加到子網路」選項連接正確的子網路或 VLAN，並將網路連線狀態設定為已連線。 如果精靈包含顯示虛擬機器網路找不到網路的空白或預設網路項目，請移除該項目。 即使已貼附正確的子網路之後，無效的項目也會阻止精靈繼續執行。 |
| 9 |
選擇 UEFI 作為 BIOS 模式，然後按一下「下一步」。 系統會開啟「管理精靈」。 |
| 10 |
除非組織要求類別，否則將「類別」保留空白。 |
| 11 |
選取適當的時區。 |
| 12 |
在訪客自訂卡上選取「無自訂」，然後按一下「下一步」。 |
| 13 |
檢閱設定，然後選取「建立虛擬機器」。 |
上傳並掛載 HDS 組態 ISO
| 1 |
在 PRISM 中心中，移至基礎結構 > 運算 > 虛擬機器。 |
| 2 |
選取已部署的 HDS 虛擬機器。 在 [摘要] 索引標籤上，選取 [電源操作] > [電源開啟]。 等待幾分鐘，以便虛擬機器啟動。 |
| 3 |
按一下啟動主控台。 使用預設認證執行初始登入。 Username: admin
Password: ciscosystems
|
| 4 |
出現提示時變更管理員認證。 |
| 5 |
使用「編輯組態」選項設定節點的靜態 IP 位址、子網路遮罩、閘道、DNS 和 NTP 設定。 |
| 6 |
連接 ISO 之前，請先關閉 HDS 虛擬機器的電源。 移至基礎結構 > 運算 > 虛擬機器，然後選取適用的 HDS 虛擬機器。 在 [摘要] 索引標籤上，選取 [電源操作] > [關閉電源]，然後等待虛擬機器完全停止。 |
| 7 |
開啟虛擬機器的磁碟標籤。 |
| 8 |
如果已附加舊的組態 ISO，請只選取其 CD-ROM 項目，然後按一下刪除。 在 [磁碟] 索引標籤上，如果任何虛擬磁碟項目的 [來源] 欄位為空，請選取對應的核取方塊，然後按一下 [刪除]。 |
| 9 |
選取「附加磁碟」並設定下列值：
|
| 10 |
儲存組態並確認新 ISO 是否顯示為虛擬機器的附加光碟。 |
| 11 |
在虛擬機器的摘要標籤上，選取「電源操作」>「電源開啟」，並確定至少 15 分鐘內沒有警示。 |
下一步
如果需要，請繼續執行設定代理整合的節點，然後繼續註冊叢集中的第一個節點。
在支援的超級瀏覽器之間移轉 HDS 節點
使用此程序可將 HDS 節點從一個支援的虛擬化管理器移動到另一個。 現有的 HDS 虛擬機器不會直接在虛擬化程式之間移轉。 相反，請在目標虛擬主控器上部署替代節點，並將其註冊到現有或新的 HDS 叢集中。
在開始之前
- 備份 HDS 資料庫和目前組態 ISO。
- 確認目標虛擬主機和虛擬主機符合 HDS 部署需求。
- 確認現有的 HDS 叢集是否健全，並且在您取代節點時，剩餘的節點可以繼續處理流量。
- 判斷每個替代節點是否重複使用來源節點的 IP 位址和 FQDN，還是使用新的網路設定。
- 為替代節點使用目前組態 ISO 和現有的 HDS 資料庫。
如果移動也變更作用中的資料中心、資料庫伺服器或 HDS 組態，請參閱變更用於災難復原的節點組態和待命資料中心，然後再繼續。
| 1 |
在來源虛擬化程式管理程式上選取一個要取代的 HDS 節點。 保持所有其他節點運行並註冊。 |
| 2 |
準備替代節點的網路組態：
如果它們使用相同的網路組態，請勿同時執行來源與替代節點。 |
| 3 |
在目標超級管理程式上建立並設定替代虛擬機器。 使用最新的 HDS OVA，並遵循該超級管理程序的適用部署程序。 |
| 4 |
根據步驟 2 中選取的組態設定替代虛擬機器的網路設定。 請遵循目標虛擬化管理程式的設定說明。 |
| 5 |
附加目前的 HDS 組態 ISO。 如果您的部署使用 Proxy，請按照設定 HDS 節點以進行 Proxy 整合中所述設定代理和信任存放區。 |
| 6 |
將取代節點註冊至現有叢集或新叢集。 請參閱建立和註冊更多節點。 |
| 7 |
確認替代節點是否健全、已連線至 Webex 雲端，並處理 HDS 流量。 在繼續前解決任何警報。 |
| 8 |
如果來源節點仍在執行，因為替換使用新的網路組態，請關閉電源並取消註冊來源節點。 請參閱移除節點。 |
| 9 |
針對來源虛擬化程式管理程式上的每個剩餘節點重複這些步驟。 在叢集健全狀態之前，請勿取代其他節點。 |
| 10 |
在所有替代節點都穩定且不再需要復原之後，請從來源虛擬化程式刪除原始虛擬機器。 如果您暫時保留原始虛擬機器，請將其關閉電源並卸載其組態 ISO。 |
下一步
註冊替代節點後，請確認它們是否健全，並且 HDS 部署正在處理流量。 如果部署正常，請移除所有仍在原始虛擬化管理程式上註冊的來源節點。 如果適用，請依照上述步驟取代災難復原設定中的節點。
使用 Podman 桌面執行 HDS 安裝工具
Podman 是一個免費的開源容器管理工具，它提供了一種運行，管理和創建容器的方法。 Podman 桌面可從 https://podman-desktop.io/downloads 下載。
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 要訪問它，請在該計算機上下載並運行 Podman。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 安裝工具在您環境中的 Proxy 後面執行，請在步驟 5 中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定 (伺服器、連接埠、認證)。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
停用雲端代理程式
雲端代理程式 (c-agent) 是受信任的 Webex 服務帳戶，可代表使用者透過委派存取對 HDS 執行作業，以增強整體使用者體驗。 停用雲端代理程式會阻止 Webex 服務存取內部部署 HDS 金鑰。
停用雲端代理程式會導致 Webex 應用程式空間中遺失會議後記錄、記錄、檔案預覽以及自動反惡意程式碼掃描等功能。
請依照下列步驟停用 HDS 部署的雲端代理程式。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定。 |
| 3 |
在 [進階設定] 頁面上，新增下列組態以停用雲端代理程式。 這將確保不允許雲端代理程式處理 HDS 流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
掛載組態 ISO 檔案： 安裝新組態 ISO 之前：
對於 VMware 部署： 針對 NFVIS 部署：
對於努塔尼克斯部署：
|
| 7 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 8 |
針對 HDS 部署中的每個節點重複此程序。 檢查下列項目的 syslogs，確認雲端代理程式是否已停用：「雲端代理程式更新已停用」。 |
使用 OpenSSL 產生一個 PKCS12 文件
在開始之前
-
OpenSSL 是一種工具，可用來製作 PKCS12 文件以適當的格式，以便在 HDS 設置工具中加載。 還有其他方法可以做到這一點，我們不支持或推廣一種方式以另一種方式。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為準則，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。 繼續前先了解這些要求。
-
在支援的環境中安裝 OpenSSL。 如需軟體和文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您從 Certificate Authority (CA) 收到伺服器憑證時，請啟動此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其另存為 |
| 2 |
將憑證顯示為文字，並驗證詳細資訊。
|
| 3 |
使用文字編輯器來建立稱為的憑證套裝檔案
|
| 4 |
使用友好名稱建立 .p12 檔案。
|
| 5 |
檢查伺服器憑證詳細資訊。 |
下一步
返回「完成混合資料安全性的先決條件」。 您將在建立 HDS
主機的組態 ISO 中使用該hdsnode.p12檔案及您為其設定的密碼。
您可以在原始憑證到期時重複使用這些檔案來要求新 的憑證。
HDS 節點與雲端之間的流量
輸出指標收集流量
混合式資料安全節點會將某些測量結果傳送至 Webex 雲端。 其中包括堆積最大值、使用堆積、CPU 負載和執行緒計數的系統測量結果；同步和非同步執行緒的測量結果；涉及加密連線臨界值、延遲或請求佇列長度的警示測量結果；資料存放區的測量結果；以及加密連線測量結果。 節點通過頻外（與請求分開）通道傳送加密的金鑰材料。
輸入流量
混合式資料安全節點會從 Webex 雲端接收下列類型的輸入流量：
-
來自由加密服務路由的用戶端的加密要求
-
升級節點軟體
設定 Squid Proxy 以實現混合資料安全性
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新的和變更的資訊
|
日期 |
進行的變更 | ||
|---|---|---|---|
|
2023 年 10 月 20 日 |
| ||
|
2023 年 8 月 7 日 |
| ||
|
2023 年 5 月 23 日 |
| ||
|
2022 年 12 月 6 日 |
| ||
|
2022 年 11 月 23 日 |
| ||
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 | ||
|
2021 年 6 月 24 日 |
注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 |
已將VM對本機硬碟空間的需求變更為 30 GB。請參閱虛擬主機需求 以取得詳細資料。 | ||
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 之後執行。請參閱為 HDS 主機建立設定ISO 獲取詳細資訊。 | ||
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有裝載ISO檔案的情況下執行。請參閱（可選）在 HDS 配置後解除掛載ISO 獲取詳細資訊。 | ||
|
2021 年 1 月 11 日 |
新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 | ||
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立設定ISO 和變更節點組態 用於 FedRAMP 環境的指令。 | ||
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立設定ISO 和變更節點組態 登入程序變更。 | ||
|
2020 年 8 月 5 日 |
已更新測驗您的混合資料安全性部署 了解記錄訊息中的變更。 已更新虛擬主機需求 以移除數目上限的主機。 | ||
|
2020 年 6 月 16 日 |
已更新移除節點 了解 Control Hub UI 中的變更。 | ||
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立設定ISO 了解您可能設定的「進階設定」中的變更。 | ||
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立設定ISO 來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 | ||
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主機搭配。 | ||
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO 包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020年2月4日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 |
在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
|
2019 年 9 月 6 日 |
新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 |
新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援 說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步Hds試用群組 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
|
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
|
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 |
變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
|
2017 年 11 月 2 日 |
| ||
|
2017 年 8 月 18 日 |
首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
-
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
-
訊息在離開用戶端之前會被加密。用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助將來的內容搜尋。
-
加密的訊息傳送至合規服務進行合規檢查。
-
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。請參閱準備環境 有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
-
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
-
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。如果發生這種情況，您可以建立新的部署，但只會看到新內容。為了避免丟失對資料的存取權，您必須：
-
管理資料庫及設定ISO的備份與復原。
-
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
-
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
-
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。（您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。我們建議至少三個，您最多可以有五個。具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。（ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。試用使用者將繼續有權存取在試用期間使用的金鑰。但是，您無法在生產模式和原始試用版之間來回切換。如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
在開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。（請參閱用於災害復原的備用資料中心 如需此容錯移轉模型的概觀。）
-
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 |
設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 |
於進階設定 頁面，請在下面新增設定以將節點設定為被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 |
完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 |
在您的本地系統上製作ISO檔案的備份。確保備份副本安全。此檔案包含資料庫內容的主加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 |
按一下編輯設定 > CD/ DVD驅動器 1 並選取資料儲存區ISO檔案。
| ||
| 8 |
開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 |
對備用資料中心中的每個節點重複此過程。
|
下一步
設定後被動模式 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需被動模式 設定，並將其儲存在安全位置。此ISO檔案副本不含被動模式 已設定可協助災害復原期間的快速容錯移轉過程。請參閱使用待機資料中心進行災害復原 如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透通的非檢查 Proxy — 節點未設定為使用特定的代理伺服器位址，因此不需要任何變更即可與非檢查 Proxy 搭配使用。無需更新憑證。
-
透通的通道或檢查 Proxy — 節點未設定為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確的 Proxy - 透過明確的 Proxy，您可以告知 HDS 節點使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
Proxy IP/FQDN — 可用於聯絡 Proxy 機器的地址。
-
Proxy 埠- Proxy 用來偵聽 Proxy 流量的連接埠號碼。
-
Proxy 通訊協定— 根據您的代理伺服器支援的內容，在下列協議之間選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型- 從以下驗證類型中選擇：
-
無— 不需要進一步的驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本- 用於 HTTP 使用者代理以在提出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要- 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
-
您必須安裝Cisco Webex Control Hub的專業版 Pack。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈結必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
不需要可連線至 CN 或無需實時主持人。我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。叢集中的所有「混合資料安全性」節點使用相同的憑證。您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。選擇可同時套用於試用和生產部署的網域。 |
|
KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
|
您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
-
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
-
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。請不要使用預設資料庫。HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。每個項目的需求如下：
|
Postgres |
Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
|
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本，以與資料庫伺服器通訊:
|
Postgres |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例 和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
-
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
|
應用程式 |
通訊協定 |
連接埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
出埠 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。這些是當前 CI 主機：
|
Region |
通用身份識別主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成混合資料安全性的先決條件
| 1 |
確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 |
為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 |
準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 |
根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 |
為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 |
設定 syslog 主機以從叢集中的節點收集記錄。收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 |
為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。雖然無法防止暫時中斷，但它們是可以恢復的。然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 |
請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 |
安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 |
如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 |
如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
在開始之前
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 |
執行試用並移至生產 （下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 |
在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 |
選取無 以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。將檔案儲存到您機器上的某個位置。
| ||||
| 4 |
（可選）按一下開啟部署指南 以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。然後，您可以使用ISO來設定您的「混合資料安全性」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP：埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP：埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠 -
您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。每當您進行下列設定變更時，都需要此檔案的最新副本：
-
資料庫認證
-
憑證更新
-
授權原則的變更
-
-
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 |
提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 |
在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 |
於ISO匯入 頁面上，您有下列選項：
| ||||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 |
選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 |
在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 |
（可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 |
按一下繼續 位於重設服務帳戶密碼 螢幕。 服務帳戶密碼的使用期限為 9 個月。當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 |
按一下下載ISO檔案。將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 |
在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。此檔案包含資料庫內容的主加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 |
若要關閉「設定」工具，請鍵入 |
下一步
備份組態ISO檔案。您需要它來建立更多節點用於復原，或進行組態變更。如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 |
使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 |
選取檔案>部署 OVF 範本。 | ||||||
| 3 |
在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 |
於選取名稱和資料夾 頁面上，輸入虛擬機器名稱 用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 |
於選取計算資源 頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。完成後，會出現範本詳細資料。 | ||||||
| 6 |
驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 |
如果您被要求在設定 頁面，按一下4 個CPU 然後按一下下一個。 | ||||||
| 8 |
於選取儲存空間 頁面，按一下下一個 接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 |
於選取網路 頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 |
於自訂範本 頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM 以從節點主控台配置設定。
| ||||||
| 11 |
在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台 標籤。 VM啟動並出現登入提示。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 |
如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。否則，在主功能表表 中，選取編輯設定 選項。 |
| 4 |
使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。您的節點應該具有內部IP 位址和DNS名稱。不支援DHCP 。 |
| 5 |
（可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 |
儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
在開始之前
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。請確保僅那些管理員可以存取資料存放區。
| 1 |
從您的電腦上傳ISO檔案： |
| 2 |
裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。請參閱（可選）在 HDS 配置後解除掛載ISO 獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
請參閱Proxy 支援 獲取支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。叢集包含一個或多個節點，為提供備援而部署。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 |
選取是 以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 |
在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 |
檢查允許存取您的混合資料安全節點 勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 |
按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性 頁面上，會顯示包含您註冊的節點的新叢集。節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件 是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 |
從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 |
在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 為新節點提供需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
在開始之前
| 1 |
如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 |
使用下列動作之一完成試用階段： |
啟動試用服務
在開始之前
如果您的組織為使用者使用目錄同步，則您必須選取Hds試用群組 群組物件以同步到雲端，然後才能為組織開始試用服務。如需相關指示，請參閱Cisco目錄連接器的部署指南。
| 1 |
登入https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
在開始之前
-
設定您的「混合資料安全性」部署。
-
啟用試用服務，並新增多個試用服務使用者。
-
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 |
傳送訊息至新空間。 | ||
| 3 |
檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 |
輸入Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 |
在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， Hds試用群組;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯 以從試用服務中移除使用者。 |
| 4 |
輸入要新增的一個或多個使用者的電子郵件地址，或按一下X 透過使用者 ID將該使用者從試用服務中移除。然後按一下儲存。 |
從試用服務移至生產環境
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在服務狀態區段中，按一下移至生產環境。 |
| 4 |
確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在停用區段中，按一下停用。 |
| 4 |
確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 |
登入 Control Hub。 |
| 2 |
在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 |
在「混合資料安全性資源」頁上，選取叢集。 |
| 4 |
在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。如有需要，您可以透過按一下延遲。 |
變更節點組態
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼最多可使用 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP：埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP：埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 |
若您僅在執行一個 HDS 節點，建立新的「混合資料安全性」節點VM並使用新的ISO設定檔案進行註冊。如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup), 輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除VM。（在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 |
啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 |
設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 |
於進階設定 頁面，在下面新增設定或移除
| ||
| 4 |
完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 |
在您的本地系統上製作ISO檔案的備份。確保備份副本安全。此檔案包含資料庫內容的主加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 |
按一下編輯設定 > CD/ DVD驅動器 1 並選取資料儲存區ISO檔案。
| ||
| 8 |
開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 |
對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。但是，有些客戶不希望讓ISO檔案持續掛載。您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
在開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消選取資料儲存區ISO檔案。 |
| 4 |
開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 |
依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
-
無法建立新空間（無法建立新鍵）
-
訊息和空間標題無法解密：
-
新使用者新增至空間（無法擷取金鑰）
-
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
-
-
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多常見情況。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
|
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
|
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
|
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。進行中重新註冊註冊。 |
|
雲端服務註冊已刪除。 |
已終止向雲端服務註冊。服務正在關閉。 |
|
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
|
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
|
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
|
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
|
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
|
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
|
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 |
複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 |
複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 |
聯絡Cisco 支援。 |
混合資料安全性的已知問題
-
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。這適用於試用和生產部署。我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
-
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
在開始之前
-
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
-
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。請先了解這些需求，然後再繼續。
-
在受支援的環境中安裝 OpenSSL。請參閱https://www.openssl.org 獲取軟體和文件。
-
建立私密金鑰。
-
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 |
當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 |
將憑證顯示為文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
使用易記名稱建立 .p12 檔案
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回到完成混合資料安全性的先決條件。您將使用hds節點.p12 檔案以及您為該檔案設定的密碼，在為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
-
來自用戶端的加密請求，由加密服務路由
-
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss： ) 連線。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指示為squid 設定檔：
on_unsupported_protocol 全部傳送Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump 拼接 wssMercuryConnection acl 步驟 1at_step SSLBump1 acl 步驟 2at_step SSLBump2 acl 步驟 3at_step SSLBump3ssl_bump 全部查看步驟 1ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步新的和變更的資訊
日期 | 進行的變更 | ||
|---|---|---|---|
2023 年 10 月 20 日 |
| ||
2023 年 8 月 7 日 |
| ||
2023 年 5 月 23 日 |
| ||
2022 年 12 月 6 日 |
| ||
2022 年 11 月 23 日 |
| ||
2021 年 10 月 13 日 | Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。 請參閱Docker 桌面需求。 | ||
2021 年 6 月 24 日 | 注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。 請參閱使用 OpenSSL 產生 PKCS12 檔案獲取詳細資訊。 | ||
| 2021 年 4 月 30 日 | 已將VM對本機硬碟空間的需求變更為 30 GB。 請參閱虛擬主機需求獲取詳細資訊。 | ||
2021 年 2 月 24 日 | HDS 設定工具現在可以在 Proxy 之後執行。 請參閱為 HDS 主機建立設定ISO獲取詳細資訊。 | ||
2021 年 2 月 2 日 | HDS 現在可以在沒有裝載ISO檔案的情況下執行。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。 | ||
2021 年 1 月 11 日 | 新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 | ||
2020 年 10 月 13 日 | 已更新下載安裝檔案。 | ||
2020 年 10 月 8 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態用於 FedRAMP 環境的指令。 | ||
2020 年 8 月 14 日 | 已更新為 HDS 主機建立設定ISO和變更節點組態登入程序變更。 | ||
2020 年 8 月 5 日 | 已更新測驗您的混合資料安全性部署了解記錄訊息中的變更。 已更新虛擬主機需求以移除數目上限的主機。 | ||
2020 年 6 月 16 日 | 已更新移除節點了解 Control Hub UI 中的變更。 | ||
2020 年 6 月 4 日 | 已更新為 HDS 主機建立設定ISO了解您可能設定的「進階設定」中的變更。 | ||
2020 年 5 月 29 日 | 已更新為 HDS 主機建立設定ISO來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 | ||
2020 年 5 月 5 日 | 已更新虛擬主機需求以顯示 ESXi 6.5 的新需求。 | ||
2020 年 4 月 21 日 | 已更新外部連線需求與新的美洲 CI 主機搭配。 | ||
2020 年 4 月 1 日 | 已更新外部連線需求包含有關區域 CI 主機的資訊。 | ||
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 | ||
| 2020 年 2 月 4 日 | 已更新Proxy 伺服器需求。 | ||
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 | ||
| 2019 年 11 月 19 日 | 在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： | ||
2019 年 11 月 8 日 | 現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節：
| ||
2019 年 9 月 6 日 | 新增SQL Server Standard 至資料庫伺服器需求。 | ||
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 | ||
| 2019 年 8 月 20 日 | 新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援說明文章。 | ||
| 2019 年 6 月 13 日 | 已更新 試用到生產任務流程提醒您同步 HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 | ||
| 2019 年 3 月 6 日 |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018 年 11 月 5 日 |
| ||
| 2018 年 10 月 19 日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018 年 5 月 21 日 | 變更了術語以反映Cisco Spark的品牌更名：
| ||
| 2018 年 4 月 11 日 |
| ||
| 2018 年 2 月 22 日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017 年 11 月 2 日 |
| ||
2017 年 8 月 18 日 | 首次公佈 |
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。 此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。 KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。 混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全性領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。 身分識別服務是唯一可讓使用者與其個人資訊（譬如電子郵件地址）直接關聯的位置，在邏輯上和實體上與資料中心B 中的安全領域分離。兩者又與最終儲存加密內容的領域分離。 ，在資料中心C 中。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。 當使用者撰寫要傳送至空間的訊息時，會執行下列步驟：
用戶端建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。 安全連線使用 ECDH，KMS 使用AES-256 主金鑰來加密金鑰。
訊息在離開用戶端之前會被加密。 用戶端將其傳送至索引服務，由該服務建立加密的搜尋索引以協助未來的內容搜尋。
加密的訊息傳送至合規服務進行合規檢查。
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。 構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。 當您的一個使用者請求您的組織擁有的空間的金鑰時（因為它是由您的其中一個使用者建立的），您的 KMS 會透過 ECDH 安全通道將金鑰傳送到用戶端。 但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。 請參閱準備環境有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
對部署混合資料安全性的預期
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
中所述的裝置、軟體和網路存取準備環境。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。 金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。 如果發生這種情況，您可以建立新的部署，但只會看到新內容。 為了避免丟失對資料的存取權，您必須：
管理資料庫及設定ISO的備份與復原。
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
| 沒有任何機制可在部署 HDS 後將金鑰移回雲端。 |
高階設定過程
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。 這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。 您的 IT 部門可以為此部署提供第一層支援，並視需要聯絡Cisco 支援。 您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模式
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。 節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程期間，我們會提供給您的 OVA 檔案，以在您提供的 VM 上"安裝;設定"虛擬裝置。 您可以使用 HDS 設定工具來建立自訂叢集組態ISO檔案，該檔案將安裝在每個節點上。 混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。 （您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中可以具有的節點數下限為兩個。 我們建議至少三個，您最多可以有五個。 具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。 （ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都會存取相同的金鑰資料儲存區，並將活動記錄到相同的 syslog 伺服器中。 節點本身是無狀態的，並按照雲端的指示以輪循方式處理關鍵請求。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。 若要使個別節點停止服務，您可以將其取消註冊，然後在需要時重新註冊。
每個組織僅支援一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。 在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。 您的其他使用者將繼續使用雲端安全性領域。
如果您決定在試用期間不繼續部署並停用服務，則試用使用者以及在試用期間透過建立新空間與之互動的任何使用者將失去對訊息和內容的存取權。 他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。 試用使用者將繼續有權存取在試用期間使用的金鑰。 但是，您無法在生產模式和原始試用版之間來回切換。 如果您必須停用服務（例如執行災害復原），那麼在重新啟動時，您必須開始新的試用服務並"安裝;設定"新試用服務的試用使用者集，然後再移回生產模式。 使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。 如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。 備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。 因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
| 作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。 |
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
準備工作
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 （請參閱用於災害復原的備用資料中心如需此容錯移轉模型的概觀。）
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。
| ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於進階設定頁面，請在下面新增設定以將節點設定為被動模式。 在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
設定後 passiveMode 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需 passiveMode 設定，並將其儲存在安全位置。 此ISO檔案副本不含 passiveMode 已設定可協助災害復原期間的快速容錯移轉過程。 請參閱 使用待機資料中心進行災害復原如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。 您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。 在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
無 Proxy — 在不使用 HDS 節點設定「信任儲存庫和 Proxy」設定來整合 Proxy 的情況下的預設值。 無需更新憑證。
透通的非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，並且不應要求進行任何變更以使用非檢查 Proxy。 無需更新憑證。
透通通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。 不需要在節點上變更 HTTP 或 HTTPS 設定。 但是，節點需要根憑證以便信任 Proxy。 IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。 這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
明確 Proxy — 可使用明確 Proxy 告知 HDS 節點使用哪個 Proxy 伺服器和驗證配置。 若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
Proxy IP/FQDN — 可用於存取 Proxy 機器的位址。
Proxy 連接埠 — Proxy 用於接聽 Proxy 流量的連接埠號。
Proxy 通訊協定 — 根據 Proxy 伺服器支援的內容，從以下通訊協定中選擇：
HTTP — 檢視並控制用戶端傳送的所有請求。
HTTPS — 提供通往伺服器的通道。 用戶端接收並驗證伺服器的憑證。
驗證類型 — 從以下驗證類型中選擇：
無 — 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
基本 — 供 HTTP 使用者代理用來在發出請求時提供使用者名稱和密碼。 使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
摘要式 — 用於在傳送機密資訊之前確認帳戶。 在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。 對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。 在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
您必須安裝Cisco Webex Control Hub的專業版 Pack。 （請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。 Docker 最近更新了其授權模式。 您的組織可能需要付費訂閱 Docker Desktop。 如需獲取詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和擴充我們的產品訂閱」 。
X.509 憑證需求
憑證鏈結必須符合下列需求：
需求 | 詳細資訊 |
|---|---|
| 依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
| 不需要可連線至 CN 或無需實時主持人。 我們建議您使用能反映您的組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。 叢集中的所有「混合資料安全性」節點使用相同的憑證。 您的 KMS 使用 CN 網域來識別自己，而不是使用 x.509v3 SAN 欄位中定義的任何網域。 當您使用此憑證註冊節點後，我們不支援變更 CN網域名稱。 選擇可同時套用於試用和生產部署的網域。 |
| KMS 軟體不支援用於驗證與其他組織的 KMS 的連線的 SHA1 簽章。 |
| 您可以使用轉換器（例如 OpenSSL）來變更憑證的格式。 當您執行 HDS 設定工具時，您將需要輸入密碼。 |
KMS 軟體不強制使用金鑰或擴充金鑰使用限制。 部分憑證授權單位要求將擴充的金鑰使用限制套用到每個憑證，例如伺服器驗證。 可以使用伺服器驗證或其它設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
| 建立金鑰儲存的新資料庫。 請不要使用預設資料庫。 HDS 應用程式在安裝時用於建立資料庫綱要。 |
資料庫伺服器有兩個選項。 每個項目的需求如下：
Postgres | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） | 至少 8 個 vCPU、16 GB 主記憶體、足夠的硬碟空間並進行監控以確保不超過（如果您想要長時間執行資料庫而無需增加儲存體，則建議使用 2 TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
Postgres | Microsoft SQL Server |
|---|---|
Postgres JDBC 驅動程式 42.2.5 | SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。 請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。 當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
應用程式 | 通訊協定 | 連接埠 | 來自應用程式的方向 | 目標 |
|---|---|---|---|---|
混合資料安全節點 | TCP | 443 | 出埠 HTTPS 和 WSS |
|
HDS 設定工具 | TCP | 443 | 出埠 HTTPS |
|
| 「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。 對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。 在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。 |
通用身份識別 (CI) 主機的 URL 是特定於地區的。 這些是當前 CI 主機：
地區 | 通用身份識別主持人 URL |
|---|---|
美洲 |
|
歐盟 |
|
加拿大 |
|
Proxy 伺服器要求
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
透通 Proxy — Cisco 網路安全設備 (WSA)。
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾建立 websocket (wss:) 連線。 若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
我們支援明確 Proxy 的以下驗證類型組合：
不使用 HTTP 或 HTTPS 進行驗證
使用 HTTP 或 HTTPS 進行基本驗證
僅使用 HTTPS 進行摘要式驗證
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。 本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。 如果發生此問題，請略過（而非檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成混合資料安全性的先決條件
| 1 | 確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。 請聯絡您的Cisco合作夥伴或客戶經理以尋求有關此程序的說明。 | ||
| 2 | 為您的 HDS 部署選擇網域名稱（例如， | ||
| 3 | 準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。 您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 | ||
| 4 | 根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。 資料庫伺服器必須與虛擬主機共置在安全資料中心內。 | ||
| 5 | 為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。 備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。 例如，如果生產環境有 3 個 VM 執行 HDS 節點，則備份環境應該有 3 個 VM。 | ||
| 6 | 設定 syslog 主機以從叢集中的節點收集記錄。 收集其網路地址和 syslog 埠（預設值為UDP 514）。 | ||
| 7 | 為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。 為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。
Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。 雖然無法防止暫時中斷，但它們是可以恢復的。 然而，資料庫或設定ISO檔案的完全遺失（無可用的備份）將導致客戶資料無法復原。 「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 | ||
| 8 | 請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 | ||
| 9 | 安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統： http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。 您的組織可能需要 Docker 桌面授權。 請參閱Docker 桌面需求獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 | ||
| 10 | 如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 | ||
| 11 | 如果您的組織使用目錄同步，請在Active Directory中建立一個名為
|
混合資料安全性部署任務流程
準備工作
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 | ||
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 | ||
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。
| ||
| 4 |
登入VM主控台並設定登入認證。 如果在部署 OVA 時未設定節點，請網路設定。 | ||
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 | ||
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 | ||
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 | ||
| 8 |
完成叢集設定。 | ||
| 9 | 執行試用並移至生產（下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 | 登入https://admin.webex.com，然後按一下服務。 | ||||
| 2 | 在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。 將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。 若要尋找帳號，請按一下右上方您的組織名稱旁的齒輪。
| ||||
| 3 | 選取無以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔案自動開始下載。 將檔案儲存到您機器上的某個位置。
| ||||
| 4 | （可選）按一下開啟部署指南以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定ISO
「混合資料安全性」設定過程會建立ISO檔案。 然後，您可以使用ISO來設定您的「混合資料安全性」主機。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。 每當您進行下列設定變更時，都需要此檔案的最新副本：
資料庫認證
憑證更新
授權原則的變更
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 | 在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中：
| ||||||||||||
| 2 | 若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||||
| 3 | 在密碼提示中，輸入此雜湊： | ||||||||||||
| 4 | 下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||||
| 5 | 提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||||
| 6 |
使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。 然後，此工具會顯示標準登入提示。 | ||||||||||||
| 7 | 提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入以允許存取「混合資料安全性」所需的服務。 | ||||||||||||
| 8 | 在設定工具概觀頁上，按一下開始使用。 | ||||||||||||
| 9 | 於ISO匯入頁面上，您有下列選項：
| ||||||||||||
| 10 | 檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||||
| 11 | 輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||||
| 12 | 選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。 該工具還會驗證憑證簽署者和主機名稱（如果適用）。 如果測驗失敗，該工具會顯示說明問題的錯誤訊息。 您可以選擇是否忽略該錯誤並繼續進行設定。 （由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||||
| 13 | 在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||||
| 14 | （可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。 一般而言，您可能只需要變更此參數： | ||||||||||||
| 15 | 按一下繼續位於重設服務帳戶密碼螢幕。 服務帳戶密碼的使用期限為 9 個月。 當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||||
| 16 | 按一下下載ISO檔案。 將檔案儲存在易於尋找的位置。 | ||||||||||||
| 17 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||||
| 18 | 若要關閉安裝工具，請鍵入 |
下一步
備份組態ISO檔案。 您需要它來建立更多節點用於復原，或進行組態變更。 如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。 無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
| 我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。 |
安裝 HDS 主機 OVA
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 | ||||||
| 2 | 選取檔案>部署 OVF 範本。 | ||||||
| 3 | 在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 | ||||||
| 4 | 於選取名稱和資料夾頁面上，輸入虛擬機器名稱用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 | ||||||
| 5 | 於選取計算資源頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。 完成後，會出現範本詳細資料。 | ||||||
| 6 | 驗證範本詳細資料，然後按一下下一個。 | ||||||
| 7 | 如果您被要求在設定頁面，按一下4 個CPU然後按一下下一個。 | ||||||
| 8 | 於選取儲存空間頁面，按一下下一個接受預設磁碟格式和VM儲存原則。 | ||||||
| 9 | 於選取網路頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 | ||||||
| 10 | 於自訂範本頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM以從節點主控台配置設定。
| ||||||
| 11 | 在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。 您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。 首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。 如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 | 在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點VM並選取主控台標籤。 VM啟動並出現登入提示。 如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 | 使用以下預設登入和密碼來登入和變更認證： 由於您是首次登入VM ，因此您必須變更管理員密碼。 |
| 3 | 如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。 否則，在主功能表表 中，選取編輯設定選項。 |
| 4 | 使用IP 位址、遮罩、閘道 和DNS資訊設定靜態組態。 您的節點應該具有內部IP 位址和DNS名稱。 不支援DHCP 。 |
| 5 | （可選）視需要變更主機名稱、網域或NTP 伺服器以符合您的網路原則。 您不需要將網域設定為與用於獲取 X.509 憑證的網域相符。 |
| 6 | 儲存網路組態設定並重新啟動VM以使變更生效。 |
上傳並裝載 HDS 設定ISO
準備工作
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。 請確保僅那些管理員可以存取資料存放區。
| 1 | 從您的電腦上傳ISO檔案： |
| 2 | 裝載ISO檔案： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。 請參閱（可選）在 HDS 配置後解除掛載ISO獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。 如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。 您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
準備工作
請參閱Proxy 支援獲取支援的 Proxy 選項的概觀。
| 1 | 輸入 HDS 節點設定URL |
| 2 | 轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 | 按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。 按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 | 按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。 預期在許多明確的 Proxy 設定中會出現這種情況。 您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。 如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 | 連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。 此設定需要 15 秒才能生效。 |
| 6 | 按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 | 節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。 如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
註冊叢集中的第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。 叢集包含一個或多個節點，為提供備援而部署。
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 | 從螢幕左側的功能表中，選取服務。 |
| 3 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 出現「註冊混合資料安全節點」頁。
|
| 4 | 選取是以表示您已"安裝;設定"節點並準備註冊它，然後按一下下一個。 |
| 5 | 在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。 譬如： 「舊金山」或「紐約」或「達拉斯」 |
| 6 | 在第二個欄位中，輸入節點的內部IP 位址或完整網域名稱(FQDN)，然後按一下下一個。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 | 按一下移至節點。 |
| 8 | 按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。 如果所有測試都成功，會出現「允許存取混合資料安全節點」頁。 在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 | 檢查允許存取您的混合資料安全節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 | 按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 於混合資料安全性頁面上，會顯示包含您註冊的節點的新叢集。 節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
| 目前，您在 中建立的備份 VM完成混合資料安全性的先決條件是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。 有關詳細資訊，請參閱使用待機資料中心進行災害復原。 |
準備工作
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | 從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 | 在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 | 在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 | 如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合為新節點提供需要。 |
| 5 | 註冊節點。 您的節點已註冊。 請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
準備工作
| 1 | 如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。 在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 | 使用下列動作之一完成試用階段： |
啟動試用服務
準備工作
如果您的組織為使用者使用目錄同步，則您必須選取 HdsTrialGroup 群組物件以同步到雲端，然後才能為組織開始試用服務。 如需相關指示，請參閱 Cisco目錄連接器的部署指南。
| 1 | 登入https://admin.webex.com，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下開始試用。 服務狀態變更為試用模式。
|
| 4 | 按一下新增使用者並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （若您的組織使用目錄同步，請使用Active Directory來管理試用群組， |
測驗您的混合資料安全性部署
準備工作
設定您的「混合資料安全性」部署。
啟用試用服務，並新增多個試用服務使用者。
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 | 給定空間的金鑰由空間的建立者設定。 以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。
| ||
| 2 | 傳送訊息至新空間。 | ||
| 3 | 檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監控混合資料安全性運行狀況
| 1 | 輸入Control Hub ，選取服務從螢幕左側的功能表中。 |
| 2 | 在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 隨即顯示混合資料安全性設定頁面。
|
| 3 | 在電子郵件通知區段中，鍵入以逗號分隔的一個或多個電子郵件地址，然後按輸入。 |
在試用服務中新增或移除使用者
如果您從試用服務中移除使用者，則使用者的用戶端將請求從雲端 KMS 而非您的 KMS 建立金鑰和金鑰建立。 如果用戶端需要儲存在 KMS 上的金鑰，雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， HdsTrialGroup;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區域的試用模式區段中，按一下新增使用者，或按一下檢視及編輯以從試用服務中移除使用者。 |
| 4 | 輸入要新增的一個或多個使用者的電子郵件地址，或按一下X透過使用者 ID將該使用者從試用服務中移除。 然後按一下儲存。 |
從試用服務移至生產環境
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在服務狀態區段中，按一下移至生產環境。 |
| 4 | 確認您要將所有使用者移至生產環境。 |
在不移至生產的情況下結束試用服務
| 1 | 登入 Control Hub，然後選取服務。 |
| 2 | 在混合資料安全性下，按一下設定。 |
| 3 | 在停用區段中，按一下停用。 |
| 4 | 確認您要停用服務並結束試用服務。 |
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程：
| 1 | 登入 Control Hub。 |
| 2 | 在概觀頁面上的混合服務下，選取混合資料安全性。 |
| 3 | 在「混合資料安全性資源」頁上，選取叢集。 |
| 4 | 在右側的概觀面板中，在叢集設定下，選取叢集名稱。 |
| 5 | 在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註： 在「時區」下，會顯示下一可用升級日期和時間。 需要的話，您可以透過按一下「延遲」，將升級延遲至次日。 |
變更節點組態
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。 網域必須符合用來註冊叢集的原始網域。
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。 若要切換資料庫環境，請啟動混合資料安全的新部署。
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。 在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。 如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。 （電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
軟重設 — 舊密碼和新密碼同時有效，最多 10 天。 使用此時段逐步取代節點上的 ISO 檔案。
硬重設 — 舊密碼會立即停止作用。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
準備工作
「HDS 設定」工具在本端機器上作為 Docker 容器執行。 若要加以存取，請執行該機器上的 Docker。 設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。 此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT您需要一份現行設定 ISO 檔案才能產生新設定。 ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。 當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 | 在本端機器上使用 Docker 來執行「HDS 設定」工具。
| ||||||
| 2 | 如果您只有一個 HDS 節點在執行中，請建立新的混合資料安全節點虛擬機器，並使用新的設定 ISO 檔案來註冊此虛擬機器。 如需更詳細的指示，請參閱建立並註冊更多節點。 | ||||||
| 3 | 針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。 請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： | ||||||
| 4 | 重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。 如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
準備工作
| 1 | 在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup),輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 | 轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 | 轉至信任儲存庫和 Proxy 頁面。 |
| 4 | 按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。 否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 | 使用電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機，並關閉虛擬機器。 |
| 2 | 移除節點： |
| 3 | 在 vSphere 用戶端中，刪除VM。 （在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。 如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。 對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。 叢集還負責將其建立的金鑰返回給任何獲得授權的使用者，例如對話空間的成員。
因為叢集執行提供這些金鑰的關鍵功能，所以叢集必須保持執行並維護正確的備份。 混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。 為了防止此類遺失，必須採取以下做法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 | 啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 | ||
| 2 | 設定完 Syslogd 伺服器後，按一下進階設定 | ||
| 3 | 於 進階設定頁面，在下面新增設定或移除
| ||
| 4 | 完成設定過程並將ISO檔案儲存在易於尋找的位置。 | ||
| 5 | 在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。 此檔案包含資料庫內容的主加密金鑰。 僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||
| 6 | 在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 | ||
| 7 | 按一下編輯設定 > CD/ DVD驅動器 1並選取資料儲存區ISO檔案。
| ||
| 8 | 開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 | ||
| 9 | 對備用資料中心中的每個節點重複此過程。
|
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。 但是，有些客戶不希望讓ISO檔案持續掛載。 您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。 當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。 當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
準備工作
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 | 關閉其中一個 HDS 節點。 |
| 2 | 在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 | 選擇並取消選取資料儲存區ISO檔案。 |
| 4 | 開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 | 依次為每個 HDS 節點重複此操作。 |
檢視警示和疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。 如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
無法建立新空間（無法建立新鍵）
訊息和空間標題無法解密：
新使用者新增至空間（無法擷取金鑰）
使用新用戶端的空間中的現有使用者（無法擷取金鑰）
空間中的現有使用者將繼續成功執行，只要其用戶端具有加密金鑰的快取
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。 警示涵蓋許多常見情況。
警示 | 動作 |
|---|---|
本端資料庫存取失敗。 |
檢查是否存在資料庫錯誤或本地網路問題。 |
本機資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中使用了正確的服務帳戶憑證。 |
存取雲端服務失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
正在更新雲端服務註冊。 |
已刪除對雲端服務的註冊。 進行中重新註冊註冊。 |
雲端服務註冊已刪除。 |
向雲端服務的註冊已終止。 服務正在關閉。 |
服務尚未啟動。 |
啟用試用服務，或完成將試用服務移至生產環境。 |
設定的網域與伺服器憑證不相符。 |
請確保您的伺服器憑證符合設定的服務啟動網域。 最可能的原因是憑證 CN 最近已變更，現在與初始設定期間使用的 CN 不同。 |
無法針對雲端服務進行驗證。 |
檢查服務帳戶認證的準確性及是否可能過期。 |
無法開啟本機金鑰儲存區檔案。 |
檢查本機金鑰存放區檔案的完整性和密碼準確度。 |
本機伺服器憑證無效。 |
檢查伺服器憑證的到期日，並確認它是由受信任的憑證授權單位核發的。 |
無法公佈指標。 |
檢查對外部雲端服務的本地網路存取。 |
/media/configDrive/hds 目錄不存在。 |
檢查虛擬主機上的ISO裝載設定。 驗證ISO檔案是否存在、是否已設定為在重新啟動時裝載以及是否成功裝載。 |
混合資料安全性疑難排解
| 1 | 複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 | 複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 | 聯絡Cisco 支援。 |
混合資料安全性的已知問題
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。 這適用於試用和生產部署。 我們目前沒有此問題的因應措施或修正程式，因此建議您不要在 HDS 服務正在處理使用中的使用者帳戶時關閉這些服務。
與 KMS 具有現有 ECDH 連線的用戶端會將該連線維護一段時間（可能是一個小時）。 當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。 或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您將組織的試用服務移至生產時，會發生相同的行為。 所有與先前資料安全性服務之間存在 ECDH 連線的非試用使用者將繼續使用這些服務，直到 ECDH 連線被重新協商（透過逾時或登出再登入）。
使用 OpenSSL 產生 PKCS12 檔案
準備工作
OpenSSL 是一款可用於使 PKCS12 檔案採用正確格式的工具，以便在 HDS 設定工具中載入。 可使用其他方式執行此操作，我們不支援或宣傳一種方式優於另一種方式。
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。 請先了解這些需求，然後再繼續。
在受支援的環境中安裝 OpenSSL。 請參閱https://www.openssl.org獲取軟體和文件。
建立私密金鑰。
當您從憑證授權單位(CA) 收到伺服器憑證時，開始執行此流程。
| 1 | 當您從 CA 收到伺服器憑證時，將其另存為 |
| 2 | 將憑證顯示為文字，並驗證詳細資料。
|
| 3 | 使用文字編輯器建立一個名為
|
| 4 | 使用易記名稱建立 .p12 檔案
|
| 5 | 檢查伺服器憑證詳細資料。 |
下一步
返回到 完成混合資料安全性的先決條件。 您將使用 hdsnode.p12 檔案以及您為該檔案設定的密碼，在 為 HDS 主機建立設定ISO 。
| 當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。 |
HDS 節點與雲端之間的流量
輸出指標收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。 這些包括堆最大值、堆已使用、 CPU負載和執行緒數的系統指標；同步與異步執行緒的指標；警示的指標，涉及加密連線、延遲或請求佇列長度的臨界值；資料儲存區的指標；和加密連線指標。 節點會透過頻外（獨立於請求）通道傳送加密的金鑰資料。
入埠流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
來自用戶端的加密請求，由加密服務路由
升級至節點軟體
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss:) 連線。 這些章節提供有關如何將各個版本的 Squid 設定為忽略的指南。 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增 on_unsupported_protocol 指示為 squid.conf ：
on_unsupported_protocol tunnel allSquid 3.5.27
我們成功測試了混合資料安全性，其中新增了以下規則 squid.conf 。 這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all前言
新的和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行設定程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
注意到您可以重複使用私密金鑰檔案和CSR代表來申請另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將VM對本機硬碟空間的需求變更為 30 GB。請參閱虛擬主機需求 獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 之後執行。請參閱為 HDS 主機建立設定ISO 獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有裝載ISO檔案的情況下執行。請參閱（可選）在 HDS 配置後解除掛載ISO 獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
新增了有關 HDS 設定工具和 Proxy 的資訊，為 HDS 主機建立設定ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立設定ISO 和變更節點組態 用於 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立設定ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測驗您的混合資料安全性部署 了解記錄訊息中的變更。 已更新虛擬主機需求 以移除數目上限的主機。 |
|
2020 年 6 月 16 日 |
已更新移除節點 了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立設定ISO 了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立設定ISO 來顯示您也可以將TLS用於SQL Server 資料庫、UI 變更及其他說明。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主機搭配。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立設定ISO 包含有關 HDS 設定工具中新的可選進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 明確了「封鎖外部DNS解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下章節中新增了有關已封鎖外部DNS解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時而不是在部署之後為節點網路設定。 已相應地更新了下列章節： 在 OVA 部署期間網路設定的選項已針對 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
新增SQL Server Standard 至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 新增設定 Squid Proxy 以實現混合資料安全性 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以實現正常操作的指南。 |
| 2019 年 8 月 20 日 |
新增和更新了章節，以涵蓋對Webex雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全性和Webex視訊網格的 Proxy 支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步Hds試用群組 如果您的組織使用目錄同步，則在開始試用之前先刪除群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映Cisco Spark的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性一直是設計Webex應用程式的主要焦點。此安全性的基礎是端對端內容加密，由Webex應用程式用戶端與金鑰管理服務 (KMS) 互動來啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有Webex應用程式客戶都會獲得端對端加密，使用儲存在雲端 KMS 中的動態金鑰（在 Cisco 安全領域中）。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex雲端架構將不同類型的服務分成不同的領域或信任網域，如下所述。
為了進一步了解混合資料安全性，讓我們先來看看這個純雲端案例，Cisco在該案例中提供其云端領域的所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖表中，用戶端是在使用者膝上型電腦上執行的Webex應用程式，並且已使用身分服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合資料安全性時，您會將安全領域功能（KMS、索引及合規）移至內部部署資料中心。構成Webex的其他雲端服務（包括身分和內容儲存）仍在 Cisco 的領域內。
與其他組織協作
您組織中的使用者可能會定期使用Webex應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到Webex雲端，以從相應的 KMS 獲取金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會驗證與其他組織中使用 x.509 PKI 憑證的 KMS 的連線。請參閱準備環境 有關生成 x.509 憑證以用於「混合資料安全性」部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全性部署需要大量客戶，並且需要了解擁有加密金鑰帶來的風險。
若要部署混合資料安全性，您必須提供：
-
位於以下國家/地區的安全資料中心： Cisco Webex Teams計劃支援的位置。
完全遺失您為「混合資料安全性」建立的設定ISO或您提供的資料庫將導致金鑰遺失。金鑰遺失可防止使用者在Webex應用程式中解密空間內容及其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
準備在發生災害（例如資料庫磁碟故障或資料中心災害）時執行快速災害復原。
沒有任何機制可在部署 HDS 後將金鑰移回雲端。
高階設定程序
此文件涵蓋「混合資料安全性」部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝混合資料安全性軟體，與處於試用模式的使用者子集一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來實現安全性功能。
接下來的三章將詳細涵蓋設定、試用和生產階段。
-
維護您的混合資料安全性部署— Webex雲端自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在 Control Hub 中使用螢幕通知，並"安裝;設定"基於電子郵件的警示。
-
了解常見警報、疑難排解步驟和已知問題— 如果您在部署或使用混合資料安全性時遇到問題，本指南的最後一章和已知問題附錄可能會協助您確定和修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為不同虛擬主機上的單個節點叢集。節點透過安全 WebSocket 和安全 HTTP 與Webex雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器以及 PostgreSQL 或Microsoft SQL Server 資料庫。（您在 HDS 設定工具中配置 Syslogd 和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。具有多個節點可確保在節點上的軟體升級或其他維護活動期間服務不會中斷。（ Webex雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點即會變為活躍狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定「混合資料安全性」部署後，您首先與一組試用使用者一起嘗試。在試用期間，這些使用者將內部部署混合資料安全網域用於加密金鑰及其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在Webex應用程式中看到「無法解密此訊息」。
如果您滿意您的部署適用於試用使用者，並且您已準備好將「混合資料安全性」延伸至所有使用者，您可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權取決於您是否已為叢集中的「混合資料安全性」節點成功維護關鍵資料存放區區的備份和ISO組態檔。
用於災害復原的備用資料中心
在部署期間，您"安裝;設定"安全待命資料中心。如果資料中心發生災害，您可以手動將部署故障轉移至備用資料中心。
作用中與待命資料中心的資料庫會相互同步，這將最大限度減少執行容錯移轉的時間。備用資料中心的ISO檔案會使用其他設定更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新。
作用中的混合資料安全節點必須總是與作用中的資料資料庫伺服器位於相同的資料中心內。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的ISO檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 如需此容錯移轉模型的概觀。）
-
請確保在主動與被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 ISO檔案必須是主資料中心的原始ISO檔案的副本，要在其上進行以下設定更新。 |
| 2 |
設定完 Syslogd 伺服器後，按一下進階設定 |
| 3 |
於進階設定 頁面，請在下面新增設定以將節點設定為被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定過程並將ISO檔案儲存在易於尋找的位置。 |
| 5 |
在您的本地系統上製作ISO檔案的備份。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/ DVD驅動器 1 並選取資料儲存區ISO檔案。 確保已連線 和開啟電源時連接 會檢查，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已以被動模式設定」。 |
下一步
設定後被動模式 在ISO檔案中並儲存，您可以建立另一個ISO檔案副本，而無需被動模式 設定，並將其儲存在安全位置。此ISO檔案副本不含被動模式 已設定可協助災害復原期間的快速容錯移轉過程。請參閱使用待機資料中心進行災害復原 如需詳細的容錯移轉程序，
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透通的非檢查 Proxy — 節點未設定為使用特定的代理伺服器位址，因此不需要任何變更即可與非檢查 Proxy 搭配使用。無需更新憑證。
-
透通的通道或檢查 Proxy — 節點未設定為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確的 Proxy - 透過明確的 Proxy，您可以告知 HDS 節點使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
Proxy IP/FQDN — 可用於聯絡 Proxy 機器的地址。
-
Proxy 埠- Proxy 用來偵聽 Proxy 流量的連接埠號碼。
-
Proxy 通訊協定— 根據您的代理伺服器支援的內容，在下列協議之間選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型- 從以下驗證類型中選擇：
-
無— 不需要進一步的驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本- 用於 HTTP 使用者代理以在提出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要- 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex授權需求
若要部署混合資料安全性：
-
您必須安裝Cisco Webex Control Hub的專業版 Pack。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
安裝 HDS 節點之前，需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
依預設，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外），https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於驗證Webex應用程式用戶端的混合資料安全性節點。叢集中的所有「混合資料安全性」節點使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中"安裝;設定"為「混合資料安全性」節點的虛擬主機具有以下需求：
-
至少有兩個獨立的主機（建議 3 個）共置在同一個安全資料中心
-
VMware ESXi 6.5（或更高版本）已安裝且正在執行。
如果您具有較舊的 ESXi 版本，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體和 30 GB 本地硬碟空間
資料庫伺服器需求
建立金鑰儲存的新資料庫。請不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下：
|
Postgres |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊:
|
Postgres |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援SQL Server Always On（永不間斷的容錯移轉叢集實例 和AlwaysOn 可用性群組)。 |
針對Microsoft SQL Server 的 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來獲得對Microsoft SQL Server 上的金鑰儲存庫資料庫的存取權，則需要在您的環境中進行以下設定：
-
HDS 節點、 Active Directory基礎結構和 MS SQL Server 必須全部與NTP同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的DNS伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以在Active Directory上將Microsoft SQL Server 上的 HDS 資料庫實例註冊為服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取金鑰儲存區資料庫。當透過 Kerberos 身份驗證請求存取權時，他們會使用您ISO設定的詳細資料來構造 SPN。
外部連線需求
設定您的防火牆，以允許 HDS 應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出埠 HTTPS |
|
「混合資料安全性」節點可與網路存取轉換 (NAT) 搭配使用，或在防火牆後使用，只要 NAT 或防火牆允許上表中的網域目標所需的出埠連線。對於進入混合資料安全節點的連線，從網際網路中看不到任何埠。在您的資料中心內，用戶端需要存取TCP埠 443 和 22 上的「混合資料安全」節點，以進行管理。
通用身份識別 (CI) 主機的 URL 是特定於地區的。這些是當前 CI 主機：
|
區域 |
通用身份識別主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全性。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的Webex組織啟用了適用於Cisco Webex Control Hub的專業版 Pack ，並獲取具有完整組織管理員權限的帳戶的憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備將在叢集中"安裝;設定"為「混合資料安全性」節點的相同虛擬主機。您需要至少兩個獨立的主機（建議 3 個）共置在同一個安全資料中心，且符合虛擬主機需求。 |
| 4 |
根據以下要求，準備將充當叢集主要資料存放區區的資料資料庫伺服器：資料庫伺服器需求。資料庫伺服器必須與虛擬主機共置在安全資料中心內。 |
| 5 |
為了進行快速的災害復原，請在其他資料中心"安裝;設定"備份環境。備份環境可鏡像 VM 的生產環境和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為「混合資料安全性」節點、資料庫伺服器和 syslog 主機建立安全備份原則。為了防止無法復原的資料遺失，您必須至少備份資料庫以及為「混合資料安全性」節點產生的設定ISO檔案。 因為「混合資料安全性」節點儲存了用於內容加密和解密的金鑰，所以無法維持可運作的部署將導致無法復原的遺失 該內容的。 Webex應用程式用戶端會緩存其金鑰，因此中斷可能不會立即明顯，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全性」節點的操作人員應維護資料庫及設定ISO檔案的頻繁備份，並準備在發生災難性故障時重建「混合資料安全性」資料中心。 |
| 8 |
請確保您的防火牆設定允許「混合資料安全性」節點的連線，如 中所述。外部連線需求。 |
| 9 |
安裝 Docker （https://www.docker.com ) 在執行支援的 OS（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，且 Web 瀏覽器可在下列位置存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具將為所有「混合資料安全性」節點建立本端設定組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 獲取更多資訊。 若要安裝並執行 HDS 設定工具，本機必須具有外部連線需求。 |
| 10 |
如果您要整合 Proxy 與混合資料安全性，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試驗使用者時，請記住，如果您決定永久停用「混合資料安全性」部署，則所有使用者都將失去對由試驗使用者建立的空間中內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
開始之前
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為「混合資料安全性」節點建立ISO組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間網路設定的選項已針對 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入VM主控台並設定登入認證。如果在部署 OVA 時未設定節點，請網路設定。 |
| 5 |
從您使用 HDS 設定工具建立的ISO組態檔設定VM 。 |
| 6 |
若網路環境需要 Proxy 設定，請指定用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任儲存區。 |
| 7 |
將VM向Cisco Webex Cloud 註冊為「混合資料安全性」節點。 |
| 8 |
完成叢集設定。 |
| 9 |
執行試用並移至生產 （下一章） 在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全性」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的客戶團隊或合作夥伴組織。將您的帳號提供給他們，並要求為您的組織啟用混合資料安全性。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁面。在混合資料安全性卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全性」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致升級應用程式時發生問題。請確保下載最新版本的 OVA 檔案。 |
| 3 |
選取無 以指示您尚未"安裝;設定"該節點，然後按一下下一個。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）按一下開啟部署指南 以檢查是否有本指南可用的較新版本。 |
為 HDS 主機建立設定 ISO
「混合資料安全性」設定過程會建立ISO檔案。然後，您可以使用ISO來設定您的「混合資料安全性」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，請在 中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP：埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP：埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠 -
您產生的組態ISO檔案包含加密 PostgreSQL 或Microsoft SQL Server 資料庫的主金鑰。每當您進行下列設定變更時，都需要此檔案的最新副本：
-
資料庫認證
-
憑證更新
-
授權原則的變更
-
-
如果您計劃加密資料庫連線，請針對TLS"安裝;設定"PostgreSQL 或SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 本地主機： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 本地主機。 使用 Web 瀏覽器轉至 本地主機， 此工具會使用這第一個使用者名稱項目來為該帳戶設定正確的環境。然後，此工具會顯示標準登入提示。 | ||||||||||
| 7 |
提示時，輸入 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全性」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
於ISO匯入 頁面上，您有下列選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測驗與資料庫伺服器的TLS連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立TLS連線。） | ||||||||||
| 13 |
在系統記錄頁上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 中變更某些資料庫連線參數的預設值：進階設定。一般而言，您可能只需要變更此參數： | ||||||||||
| 15 |
按一下繼續 位於重設服務帳戶密碼 螢幕。 服務帳戶密碼的使用期限為 9 個月。當您的密碼即將到期或您想要重設密碼以使先前的ISO檔案失效時，使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在易於尋找的位置。 | ||||||||||
| 17 |
在您的本地系統上製作ISO檔案的備份。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多節點用於復原，或進行組態變更。如果您丟失了ISO檔案的所有副本，則您也會丟失主金鑰。無法從 PostgreSQL 或Microsoft SQL Server 資料庫中復原金鑰。
我們從不擁有此金鑰的副本，如果您遺失了它，我們將無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您之前下載的 OVA 檔案的位置，然後按一下下一個。 |
| 4 |
於選取名稱和資料夾 頁面上，輸入虛擬機器名稱 用於節點（例如「HDS_否ode_1")，選擇虛擬機器節點部署可駐留的位置，然後按一下下一個。 |
| 5 |
於選取計算資源 頁面上，選擇目標計算資源，然後按一下下一個。 執行驗證檢查。完成後，會出現範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一個。 |
| 7 |
如果您被要求在設定 頁面，按一下4 個CPU 然後按一下下一個。 |
| 8 |
於選取儲存空間 頁面，按一下下一個 接受預設磁碟格式和VM儲存原則。 |
| 9 |
於選取網路 頁面上，從項目清單中選擇網路選項以提供所需的VM連線。 |
| 10 |
於自訂範本 頁面，設定下列網路設定：
如果願意，您可以跳過網路設定，並遵循設定混合資料安全VM 以從節點主控台配置設定。 在 OVA 部署期間網路設定的選項已針對 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點VM上按一下滑鼠右鍵，然後選擇。 混合資料安全性軟體作為訪客安裝在VM主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全性」節點VM主控台並設定登入認證。如果在部署 OVA 時您未設定網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在 中網路設定安裝 HDS 主機 OVA ，請跳過此程序的其餘部分。否則，在主功能表表 中，選取編輯設定 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP 。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
因為ISO檔案包含主金鑰，所以只應在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇性地在所有節點選取組態變更之後解除裝載ISO檔案。請參閱（可選）在 HDS 配置後解除掛載ISO 獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 獲取支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是錯誤，請完成以下步驟，然後請參閱關閉「封鎖的外部DNS解析模式」 。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到混合資料安全性，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入您要向其指派「混合資料安全性」節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此IP 位址或 FQDN 應該符合您在 中使用的IP 位址或主機名稱和網域。設定混合資料安全VM 。 將出現一則訊息，指出您可以向Webex註冊您的節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍待片刻後，您被重新導向至Webex服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您確認要向Webex組織授予權限，以存取您的節點。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息表示您的節點現已向Webex雲端註冊。
|
| 10 |
按一下該鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全性的先決條件 是僅在發生災害復原時使用的備用主機；在此之前，他們不會向系統註冊。有關詳細資訊，請參閱使用待機資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外。
| 1 |
從 OVA 建立新的虛擬機器，重複中的步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的VM上設定初始設定，重複中的步驟設定混合資料安全VM 。 |
| 3 |
在新的VM上，重複中的步驟上傳並裝載 HDS 設定ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 為新節點提供需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
"安裝;設定"「混合資料安全性」叢集後，您可以開始試用，向其中新增使用者，並開始使用它來測試和驗證您的部署，為移至生產環境做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織為使用者使用目錄同步，則您必須選取 |
| 2 |
開始試用服務。在您執行此工作之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
| 4 |
檢查狀態，並"安裝;設定"的電子郵件通知。 |
| 5 | |
| 6 |
使用下列動作之一完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco目錄連接器的部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以試用您的「混合資料安全性」節點用於加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定您的「混合資料安全性」部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取 syslog，以驗證密鑰請求是否正在傳遞至您的混合資料安全性部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入Webex應用程式，然後建立空間並邀請至少一位試用使用者和一位非試用使用者。 如果您停用「混合資料安全性」部署，則一旦取代了用戶端快取的加密金鑰副本，就無法再存取由試用使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出，以驗證金鑰請求是否正在傳遞至「混合資料安全性」部署。 |
監視混合資料安全性的性能
| 1 |
輸入Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用Active Directory （而不是此程序）來管理試用群組， Hds試用群組;您可以在 Control Hub 中檢視群組成員，但無法新增或移除他們。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理您的 HDS 部署
管理 HDS 部署
使用這裡描述的任務來管理您的「混合資料安全性」部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全性資源」頁上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼最多可使用 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 之後執行，當在 中啟動 Docker 容器時，請透過 Docker 環境變數提供 Proxy 設定（伺服器、通訊埠、憑證）。 1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP：埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP：埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP：埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
若您僅在執行一個 HDS 節點，建立新的「混合資料安全性」節點VM並使用新的ISO設定檔案進行註冊。如需更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全性」節點介面（例如IP 位址/setup，https://192.0.2.0/setup), 輸入您為節點"安裝;設定"的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除VM。（在左側導覽窗格中，按右鍵一下VM ，然後按一下刪除。） 如果您不刪除VM，請記住解除掛載ISO設定檔案。如果沒有ISO檔案，您將無法使用VM來存取安全性資料。 |
使用待機資料中心進行災害復原
混合資料安全性叢集提供的最關鍵的服務是建立和儲存用於加密儲存在Webex雲端中的訊息及其他內容的金鑰。對於組織內指定給「混合資料安全性」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全性資料庫或用於綱要的設定ISO的遺失，將導致客戶內容的無法復原的遺失。若要防止此類流失，必須執行下列作法：
若災害導致主資料中心中的 HDS 部署不可用，請遵循此流程以手動故障轉移至備用資料中心。
| 1 |
啟動 HDS 設定工具，並遵循在為 HDS 主機建立設定ISO 。 |
| 2 |
設定完 Syslogd 伺服器後，按一下進階設定 |
| 3 |
於進階設定 頁面，在下面新增設定或移除
|
| 4 |
完成設定過程並將ISO檔案儲存在易於尋找的位置。 |
| 5 |
在您的本地系統上製作ISO檔案的備份。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。僅將存取權限制為應當進行組態變更的那些「混合資料安全性」管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，按右鍵一下VM ，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/ DVD驅動器 1 並選取資料儲存區ISO檔案。 確保已連線 和開啟電源時連接 會檢查，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源，並確保至少在 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出，以驗證備用資料中心的節點是否未處於被動模式。「KMS 已設定為被動模式」不應出現在系統記錄中。 |
下一步
（可選）在 HDS 配置後解除掛載ISO
標準 HDS 組態在安裝ISO的情況下執行。但是，有些客戶不希望讓ISO檔案持續掛載。您可以在所有 HDS 節點選取新設定之後解除掛載ISO檔案。
您仍然使用ISO檔案來進行組態變更。當您透過設定工具建立新的ISO或更新ISO時，您必須在所有 HDS 節點上裝載更新的ISO 。當所有節點選取了組態變更後，您可以使用此程序再次解除掛載ISO 。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消選取資料儲存區ISO檔案。 |
| 4 |
開啟 HDS 節點並確保至少在 20 分鐘內沒有警報。 |
| 5 |
依次為每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法存取，或者叢集工作太慢以致請求逾逾時，則「混合資料安全性」部署被視為不可用。如果使用者無法聯絡您的「混合資料安全性」叢集，則他們會遇到下列症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控您的「混合資料安全性」叢集並立即解決任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的Webex伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
複查 Control Hub 中的任何警示，並修正您在其中找到的任何項目。 |
| 2 |
複查 syslog 伺服器輸出，以了解混合資料安全性部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他附註
混合資料安全性的已知問題
-
如果您關閉「混合資料安全性」叢集（在 Control Hub 中刪除該叢集或關閉所有節點）、遺失設定ISO檔案或失去對金鑰儲存庫資料庫的存取權，則Webex應用程式使用者無法再使用其人員下的空間。使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全性試用服務的成員時，該使用者的用戶端會繼續使用現有的 ECDH 連線，直到其逾時為止。或者，使用者可以登出並重新登入Webex應用程式，以更新應用程式聯絡以尋求加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您確實選擇使用 OpenSSL，我們將提供此程序作為準則，協助您建立符合 X.509 憑證需求的檔案。 X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回到完成混合資料安全性的先決條件。您將使用hds節點.p12 檔案以及您為該檔案設定的密碼，在為 HDS 主機建立設定ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全性節點將某些指標傳送至Webex雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全性節點從Webex雲端接收以下類型的入埠流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立 ( wss： ) 連線。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指示為squid 設定檔：
on_unsupported_protocol 全部傳送Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump 拼接 wssMercuryConnection acl 步驟 1at_step SSLBump1 acl 步驟 2at_step SSLBump2 acl 步驟 3at_step SSLBump3ssl_bump 全部查看步驟 1ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步HDsTrialGroup 如果您的組織使用目錄同步，請在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全，我們先來看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下與一部分使用者一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點將變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將混合資料安全性延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和待命資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後被動模式 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需被動模式 設定並將其儲存在安全的位置。此 ISO 檔案副本不含被動模式 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於存取 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）：https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝以下驅動程式版本，以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 使用或在防火牆後使用，只要 NAT 或防火牆允許所需的輸出連線至上表中的網域目的地。對於傳入「混合資料安全節點」的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備您將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為「混合資料安全」節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex Cloud 註冊 VM 作為混合資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用服務之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、認證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在您的本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的基礎上公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組， HDsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集工作速度太慢以致請求逾時，則認為混合資料安全部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果「混合資料安全性」設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（ wss： ）連線（混合資料安全性所需）。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf ：
on_unsupported_protocol 所有通道Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump splice wssMercuryConnection acl step1at_step SslBump1 acl 步驟 2at_step SslBump2 acl 步驟 3at_step SslBump3ssl_bump 預覽步驟 1 全部ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步HDsTrialGroup 如果您的組織使用目錄同步，請在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全，我們先來看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下與一部分使用者一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點將變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將混合資料安全性延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和待命資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後被動模式 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需被動模式 設定並將其儲存在安全的位置。此 ISO 檔案副本不含被動模式 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於存取 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）：https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝以下驅動程式版本，以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 使用或在防火牆後使用，只要 NAT 或防火牆允許所需的輸出連線至上表中的網域目的地。對於傳入「混合資料安全節點」的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備您將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為「混合資料安全」節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex Cloud 註冊 VM 作為混合資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用服務之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、認證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在您的本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的基礎上公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組， HDsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集工作速度太慢以致請求逾時，則認為混合資料安全部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果「混合資料安全性」設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（ wss： ）連線（混合資料安全性所需）。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf ：
on_unsupported_protocol 所有通道Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump splice wssMercuryConnection acl step1at_step SslBump1 acl 步驟 2at_step SslBump2 acl 步驟 3at_step SslBump3ssl_bump 預覽步驟 1 全部ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步HDsTrialGroup 如果您的組織使用目錄同步，請在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全，我們先來看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下與一部分使用者一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點將變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將混合資料安全性延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和待命資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後被動模式 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需被動模式 設定並將其儲存在安全的位置。此 ISO 檔案副本不含被動模式 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於存取 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）：https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝以下驅動程式版本，以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 使用或在防火牆後使用，只要 NAT 或防火牆允許所需的輸出連線至上表中的網域目的地。對於傳入「混合資料安全節點」的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備您將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為「混合資料安全」節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex Cloud 註冊 VM 作為混合資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用服務之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、認證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在您的本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的基礎上公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組， HDsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集工作速度太慢以致請求逾時，則認為混合資料安全部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果「混合資料安全性」設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（ wss： ）連線（混合資料安全性所需）。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf ：
on_unsupported_protocol 所有通道Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump splice wssMercuryConnection acl step1at_step SslBump1 acl 步驟 2at_step SslBump2 acl 步驟 3at_step SslBump3ssl_bump 預覽步驟 1 全部ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 1 月 30 日 |
|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步HDsTrialGroup 如果您的組織使用目錄同步，請在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全，我們先來看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下與一部分使用者一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點將變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將混合資料安全性延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和待命資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後被動模式 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需被動模式 設定並將其儲存在安全的位置。此 ISO 檔案副本不含被動模式 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於存取 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）：https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝以下驅動程式版本，以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 使用或在防火牆後使用，只要 NAT 或防火牆允許所需的輸出連線至上表中的網域目的地。對於傳入「混合資料安全節點」的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備您將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為「混合資料安全」節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex Cloud 註冊 VM 作為混合資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用服務之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、認證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在您的本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的基礎上公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組， HDsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集工作速度太慢以致請求逾時，則認為混合資料安全部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果「混合資料安全性」設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（ wss： ）連線（混合資料安全性所需）。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf ：
on_unsupported_protocol 所有通道Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump splice wssMercuryConnection acl step1at_step SslBump1 acl 步驟 2at_step SslBump2 acl 步驟 3at_step SslBump3ssl_bump 預覽步驟 1 全部ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 1 月 30 日 |
|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的「進階設定」中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒您同步HDsTrialGroup 如果您的組織使用目錄同步，請在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天開始，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全，我們先來看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下與一部分使用者一起測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性」叢集來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點將變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將混合資料安全性延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和待命資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應鏡像 VM 的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後被動模式 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需被動模式 設定並將其儲存在安全的位置。此 ISO 檔案副本不含被動模式 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於存取 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）：https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。建議您使用能夠反映您組織的名稱，例如， CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝以下驅動程式版本，以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 使用或在防火牆後使用，只要 NAT 或防火牆允許所需的輸出連線至上表中的網域目的地。對於傳入「混合資料安全節點」的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，則繞過（而不是檢查）流向
wbx2.com和ciscospark.com的流量可以解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備您將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為「混合資料安全」節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器存取該作業系統：http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex Cloud 註冊 VM 作為混合資料安全節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用服務之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全性」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、認證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在您的本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請按 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的基礎上公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的任何快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織為使用者使用目錄同步，您必須選取 HdsTrialGroup 群組物件以同步至雲端，然後您才能為您的組織啟動試用版 。如需相關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組， HDsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
全球_代理_HTTP_ PROXY=http://SERVER_ IP:通訊埠HTTPS Proxy 不含驗證
全球_代理_HTTPS_ PROXY=http://SERVER_ IP:通訊埠HTTP Proxy 含驗證
全球_代理_HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠HTTPS Proxy 含驗證
全球_代理_HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP:通訊埠 -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在您的本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點的電源並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集工作速度太慢以致請求逾時，則認為混合資料安全部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果「混合資料安全性」設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您收到來自 CA 的伺服器憑證時，請將它儲存成 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器來建立稱為
|
| 4 |
建立 .p12 檔並使用易記的名稱
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（ wss： ）連線（混合資料安全性所需）。這些章節提供了有關如何設定各種版本 Squid 的指導，以使其忽略 wss: 流量，從而確保服務正確運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf ：
on_unsupported_protocol 所有通道Squid 3.5.27
我們透過新增以下規則至 squid.conf，成功地測試了混合資料安全。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex 水銀連接ssl_bump splice wssMercuryConnection acl step1at_step SslBump1 acl 步驟 2at_step SslBump2 acl 步驟 3at_step SslBump3ssl_bump 預覽步驟 1 全部ssl_bump 全部注視第 2 步ssl_bump 全部顛倒第 3 步前言
新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年4月16日 |
|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 產生 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
地區 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理您的 HDS 部署
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他說明
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可以從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all前言
新增和變更的資訊
|
日期 |
進行的變更 |
|---|---|
|
2025 年 3 月 3 日 |
|
|
2025 年 1 月 30 日 |
|
|
2025 年 1 月 7 日 |
|
|
2023 年 10 月 20 日 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
Docker Desktop 需要先執行安裝程式，然後才能安裝 HDS 節點。請參閱Docker 桌面需求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私密金鑰檔案和 CSR 來請求另一個憑證。請參閱使用 OpenSSL 產生 PKCS12 檔案 以獲取詳細資訊。 |
| 2021 年 4 月 30 日 |
已將本地硬碟空間的 VM 需求變更為 30 GB。請參閱虛擬主機需求 以獲取詳細資訊。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在 Proxy 後面執行。請參閱為 HDS 主機建立組態 ISO 以獲取詳細資訊。 |
|
2021 年 2 月 2 日 |
HDS 現在可以在沒有掛接 ISO 檔案的情況下執行。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。 |
|
2021 年 1 月 11 日 |
已將 HDS 設定工具和 Proxy 的相關資訊新增至為 HDS 主機建立組態 ISO 。 |
|
2020 年 10 月 13 日 |
已更新下載安裝檔案。 |
|
2020 年 10 月 8 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 使用 FedRAMP 環境的指令。 |
|
2020 年 8 月 14 日 |
已更新為 HDS 主機建立組態 ISO 和變更節點組態 登入程序的變更。 |
|
2020 年 8 月 5 日 |
已更新測試您的混合資料安全部署 以了解記錄訊息中的變更。 已更新虛擬主機需求 以移除最大主持人數。 |
|
2020 年 6 月 16 日 |
已更新移除節點 以了解 Control Hub UI 中的變更。 |
|
2020 年 6 月 4 日 |
已更新為 HDS 主機建立組態 ISO 以了解您可能設定的進階設定中的變更。 |
|
2020 年 5 月 29 日 |
已更新為 HDS 主機建立組態 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
已更新虛擬主機需求 以顯示 ESXi 6.5 的新需求。 |
|
2020 年 4 月 21 日 |
已更新外部連線需求 與新的美洲 CI 主持人。 |
|
2020 年 4 月 1 日 |
已更新外部連線需求 包含地區 CI 主機的相關資訊。 |
| 2020 年 2 月 20 日 | 已更新為 HDS 主機建立組態 ISO 以及有關 HDS 設定工具中新的選用進階設定螢幕的資訊。 |
| 2020年2月4日 | 已更新Proxy 伺服器需求。 |
| 2019 年 12 月 16 日 | 闡明了「封鎖的外部 DNS 解析模式」在Proxy 伺服器需求。 |
| 2019 年 11 月 19 日 |
在以下各節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在，您可以在部署 OVA 時為節點設定網路設定，而不是在之後。 已相應更新下列各節： 在 OVA 部署期間設定網路設定的選項已使用 ESXi 6.5 進行測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
已將 SQL Server Standard 新增至資料庫伺服器需求。 |
| 2019 年 8 月 29 日 | 已新增設定 Squid Proxy 以實現混合資料安全 附錄，其中包含有關設定 Squid Proxy 以忽略 WebSocket 流量以進行正確操作的指導。 |
| 2019 年 8 月 20 日 |
新增並更新了章節，以涵蓋對 Webex 雲端的混合資料安全節點通訊的 Proxy 支援。 若要僅存取現有部署的 Proxy 支援內容，請參閱混合資料安全和 Webex 視訊網格的代理支援 說明文章。 |
| 2019 年 6 月 13 日 | 已更新試用到生產任務流程 提醒以同步HdsTrialGroup 如果您的組織使用目錄同步，則在開始試用服務之前先設定群組物件。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
變更了術語以反映 Cisco Spark 的品牌更名：
|
| 2018 年 4 月 11 日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天起，資料安全性就是設計 Webex 應用程式的主要焦點。此安全性的基礎是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex 應用程式用戶端啟用。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex 應用程式客戶都會使用儲存在 Cisco 安全領域中云端 KMS 中的動態金鑰進行端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分成不同的領域或信任網域，如下所示。
為了進一步了解混合資料安全性，我們先來看看這個純雲端案例，其中 Cisco 在其云端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者的膝上型電腦上執行的 Webex 應用程式，並且已使用身分識別服務進行驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署「混合資料安全」時，會將安全領域功能（KMS、索引和合規）移至內部部署資料中心。組成 Webex 的其他雲端服務（包括身分識別和內容儲存體）仍保留在 Cisco 的領域中。
與其他組織協作
您組織中的使用者可以定期使用 Webex 應用程式與其他組織中的外部參加者協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由至 Webex 雲端，以從相應的 KMS 取得金鑰，然後在原始通道上將金鑰返回給您的使用者。
在組織 A 上執行的 KMS 服務會使用 x.509 PKI 憑證來驗證與其他組織中 KMS 的連線。請參閱混合資料安全性的需求 （在此文章中）以獲取有關產生 x.509 憑證以用於混合資料安全部署的詳細資訊。
部署混合資料安全性的意外狀況
混合資料安全部署需要大量的客戶承諾，以及擁有加密金鑰所帶來的風險意識。
若要部署「混合資料安全」，您必須提供：
-
位於以下國家/地區的安全資料中心 Cisco Webex Teams 計劃的支援位置。
-
中所述的設備、軟體和網路存取混合資料安全性的需求。
完全遺失您為「混合資料安全」建立的組態 ISO 或您提供的資料庫，將導致金鑰遺失。金鑰遺失會阻止使用者在 Webex 應用程式中解密空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
如果發生災害（例如資料庫磁碟故障或資料中心災害），請做好執行快速災害復原的準備。
在 HDS 部署之後，沒有將金鑰移回雲端的機制。
高階設定程序
本文件涵蓋混合資料安全部署的設定和管理：
設定混合資料安全性— 這包括準備所需的基礎架構和安裝「混合資料安全」軟體，在試用模式下使用一部分使用者測試您的部署，以及在完成測試後移至生產。這會將整個組織轉換為使用您的「混合資料安全性叢集」來執行安全性功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以使用螢幕通知並在 Control Hub 中設定基於電子郵件的警示。
-
了解常見警示、疑難排解步驟和已知問題— 如果您在部署或使用「混合資料安全」時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並修正問題。
混合資料安全性部署模型
在企業資料中心內，您可以將「混合資料安全」部署為單獨的虛擬主機上的單個節點叢集。節點透過安全 Websocket 和安全 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資料。）
叢集中至少可以有 2 個節點。我們建議每個叢集至少三個。擁有多個節點可確保服務在節點上的軟體升級或其他維護活動期間不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，節點會變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定「混合資料安全」部署後，請先與一組試用使用者一起嘗試。在試用期間，這些使用者將您的內部部署混合資料安全網域用於加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「無法解密此訊息」。
如果您對部署對試用使用者運作良好感到滿意，並且您已準備好將「混合資料安全」延伸至所有使用者，則可以將部署移至生產。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否保留對資料的存取權，取決於您是否已成功維護叢集中「混合資料安全」節點的金鑰資料存放區和 ISO 組態檔的備份。
用於災害復原的備用資料中心
在部署期間，您會設定安全的待命資料中心。如果發生資料中心災難，您可以手動將部署故障轉移至備用資料中心。
活動資料中心和備用資料中心的資料庫彼此同步，這將最大限度地減少執行容錯移轉所需的時間。備用資料中心的 ISO 檔案會使用其他設定進行更新，以確保節點已向組織註冊，但不會處理流量。因此，備用資料中心的節點始終使用最新版本的 HDS 軟體保持最新狀態。
作用中的混合資料安全節點必須始終與作用中的資料庫伺服器位於相同的資料中心。
設定備用資料中心以進行災害復原
請遵循下列步驟來設定備用資料中心的 ISO 檔案：
開始之前
-
備用資料中心應該鏡像虛擬機的生產環境以及備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（請參閱用於災害復原的備用資料中心 有關此容錯移轉模型的概觀。）
-
確保在主動和被動叢集節點的資料庫之間啟用資料庫同步。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 ISO 檔案必須是主要資料中心的原始 ISO 檔案的副本，將在其上進行以下設定更新。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面，請在下方新增設定以將節點置於被動模式。在此模式下，節點將向組織註冊並連線至雲端，但不會處理任何流量。
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 以驗證節點是否處於被動模式。您應該能夠在 syslog 中檢視訊息「KMS 已設定為被動模式」。 |
下一步
設定後passiveMode 在 ISO 檔案中並儲存它，您可以建立 ISO 檔案的另一個副本，而無需passiveMode 設定並將其儲存在安全的位置。此 ISO 檔案副本不含passiveMode 設定可協助災害復原期間的快速容錯移轉程序。請參閱使用備用資料中心進行災害復原 以獲取詳細的容錯移轉程序。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無 Proxy — 如果您不使用 HDS 節點設定信任儲存庫和 Proxy 組態來整合 Proxy，則為預設值。無需更新憑證。
-
透明非檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址，且不需要進行任何變更即可使用非檢查 Proxy。無需更新憑證。
-
透明通道或檢查 Proxy — 節點未設定為使用特定的 Proxy 伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確 Proxy — 使用明確 Proxy，您可以告訴 HDS 節點要使用哪個 Proxy 伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理 IP/FQDN — 可用於連線 Proxy 機器的位址。
-
Proxy 通訊埠— Proxy 用來接聽 Proxy 流量的通訊埠號碼。
-
Proxy 通訊協定— 根據您的 Proxy 伺服器支援的內容，選擇下列通訊協定：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從以下驗證類型中選擇：
-
無— 無需進一步驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本— 供 HTTP 使用者代理用於在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要— 用於在傳送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全性的需求
Cisco Webex 授權需求
若要部署「混合資料安全」：
-
您必須具有 Pro Pack for Cisco Webex Control Hub。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了其授權模型。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用開放式源碼容器管理工具（例如 Podman Desktop）來執行、管理和建立容器。請參閱使用 Podman Desktop 執行 HDS 設定工具 以獲取詳細資訊。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任位於以下位置的 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）https://wiki.mozilla.org/CA:IncludedCAs 。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能反映貴組織的名稱，例如 CN 不能包含 *（萬用字元）。 CN 用於向 Webex 應用程式用戶端驗證混合資料安全節點。叢集中的所有「混合資料安全」節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為「混合資料安全」節點的虛擬主機具有以下需求：
-
至少兩個單獨的主機（建議 3 個）位於同一個安全資料中心
-
VMware ESXi 7.0（或更高版本）已安裝且正在執行。
如果您具有較早版本的 ESXi，則必須升級。
-
每部伺服器至少 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器需求
為金鑰儲存體建立新的資料庫。請勿使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個項目的需求如下所示：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝下列驅動程式版本以與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 容錯移轉叢集實例 和Always On 可用性群組）。 |
針對 Microsoft SQL Server 進行 Windows 驗證的其他需求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的 keystore 資料庫，則需要在您的環境中進行以下設定：
-
HDS 節點、Active Directory 基礎結構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有資料庫的讀/寫存取權。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱註冊 Kerberos 連線的服務主體名稱。
HDS 設定工具、HDS 啟動程式和本機 KMS 都需要使用 Windows 驗證來存取 keystore 資料庫。當請求使用 Kerberos 驗證進行存取時，他們會使用 ISO 設定中的詳細資料來構造 SPN。
外部連線需求
設定防火牆以允許 HDS 應用程式的下列連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的方向 |
目標 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
輸出 HTTPS |
|
混合資料安全節點可搭配網路存取轉換 (NAT) 或在防火牆後面使用，只要 NAT 或防火牆允許上表中的網域目的地所需的輸出連線。對於傳入「混合資料安全」節點的連線，在網際網路上應該看不到任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的「混合資料安全」節點以進行管理。
通用身分識別 (CI) 主機的 URL 是地區特定的。以下是目前的 CI 主機：
|
區域 |
通用身分主持人 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 Websocket (wss:) 連線的建立。若要解決此問題，請參閱設定 Squid Proxy 以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果發生此問題，將繞過（而不是檢查）流量至
wbx2.com和ciscospark.com將解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Pro Pack for Cisco Webex Control Hub，並取得具有完整組織管理員權限的帳戶的認證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇網域名稱（例如， |
| 3 |
準備將在叢集中設定為「混合資料安全」節點的相同虛擬主機。您至少需要兩個單獨的主機（建議 3 個）位於同一個安全資料中心，它們符合虛擬主機需求。 |
| 4 |
根據資料庫伺服器需求。資料庫伺服器必須與虛擬主機位於安全資料中心。 |
| 5 |
若要快速進行災害復原，請在不同的資料中心設定備份環境。備份環境反映了 VM 和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和 syslog 主機建立安全備份原則。至少，為了防止無法復原的資料遺失，您必須備份資料庫以及為混合資料安全節點產生的組態 ISO 檔案。 由於「混合資料安全」節點會儲存用於加密和解密內容的金鑰，因此無法維護可運作的部署將導致無法復原的損失 的內容。 Webex 應用程式用戶端會快取其金鑰，因此中斷可能不會立即引起注意，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。「混合資料安全」節點的操作員應經常維護資料庫和組態 ISO 檔案的備份，並準備在發生災難性故障時重建「混合資料安全」資料中心。 |
| 8 |
確保您的防火牆設定允許混合資料安全節點的連線，如外部連線需求。 |
| 9 |
安裝 Docker（https://www.docker.com ）在執行支援的作業系統（Microsoft Windows 10 專業版或企業版 64 位元，或 Mac OSX Yosemite 10.10.3 或更高版本）的任何本地機器上，並使用 Web 瀏覽器來存取它http://127.0.0.1:8080. 您可以使用 Docker 實例來下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建立本機組態資訊。您的組織可能需要 Docker 桌面授權。請參閱Docker 桌面需求 以獲取更多資訊。 若要安裝並執行 HDS 設定工具，本端機器必須具有以下所列的連線：外部連線需求。 |
| 10 |
如果您要整合 Proxy 與「混合資料安全」，請確保它符合Proxy 伺服器需求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立一個名為 給定空間的金鑰由空間的建立者設定。選取試用使用者時，請記住，如果您決定永久停用「混合資料安全」部署，則所有使用者都將失去對由試用使用者建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全性部署任務流程
| 1 |
將 OVA 檔案下載到您的本地機器以供稍後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 組態檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始設定，例如網路設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 主控台並設定登入認證。如果您未在部署 OVA 時設定節點的網路設定，請設定這些設定。 |
| 5 |
從您使用 HDS 設定工具建立的 ISO 設定檔設定 VM。 |
| 6 |
如果網路環境需要 Proxy 設定，請指定您將用於節點的 Proxy 類型，並在需要時將 Proxy 憑證新增至信任存放區。 |
| 7 |
向 Cisco Webex 雲端註冊 VM 作為「混合資料安全」節點。 |
| 8 |
完成叢集設定。 |
| 9 |
在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在「混合服務」區段中，找到「混合資料安全」卡片，然後按一下設定。 如果卡片已停用或您看不到它，請聯絡您的帳戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用「混合資料安全」。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從說明 區段上的設定 頁。在「混合資料安全」卡片上，按一下編輯設定 以開啟頁面。然後，按一下下載「混合資料安全」軟體 在說明 區段。 較舊版本的軟體套件 (OVA) 將與最新的「混合資料安全」升級不相容。這可能會導致在升級應用程式時發生問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選取否 表示您尚未設定節點，然後按一下下一頁。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（選用）按一下開啟部署指南 以檢查是否有本指南的較新版本可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 授權，則可以使用 Podman Desktop 執行 HDS 設定工具以執行步驟1 至5 在下列程序中。請參閱使用 Podman Desktop 執行 HDS 設定工具 以獲取詳細資訊。
如果 HDS 設定工具在環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、憑證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
設定工具不支援透過以下方式連線至 localhost： http://localhost:8080 。使用http://127.0.0.1:8080 以連線至 localhost。 使用 Web 瀏覽器轉至 localhost， 該工具使用使用者名稱的第一個項目來為該帳戶設定適當的環境。然後，該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入認證，然後按一下登入 以允許存取「混合資料安全」所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在ISO 匯入 頁面，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 憑證是否符合X.509 憑證需求。
| ||||||||||
| 11 |
輸入 HDS 的資料庫位址和帳戶以存取您的金鑰資料存放區： | ||||||||||
| 12 |
選取一個TLS 資料庫連線模式：
當您上傳根憑證（如有必要）並按一下繼續，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在以下位置變更某些資料庫連線參數的預設值：進階設定。通常，此參數是您可能想要變更的唯一參數： | ||||||||||
| 15 |
按一下繼續 在重設服務帳戶密碼 螢幕。 服務帳戶密碼的有效期為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此螢幕。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將檔案儲存在容易找到的位置。 | ||||||||||
| 17 |
在本地系統上製作 ISO 檔案的備份副本。 確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 | ||||||||||
| 18 |
若要關閉設定工具，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來建立更多用於復原的節點，或進行組態變更。如果您遺失 ISO 檔案的所有副本，則您也會遺失主要金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫復原金鑰。
我們永遠不會有此金鑰的副本，如果您遺失了它，我們將無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按一下下一頁。 |
| 4 |
在選取名稱和資料夾 頁面上，輸入虛擬機器名稱 （例如，「HDS_否ode_1"），選擇虛擬機器節點部署可以駐留的位置，然後按一下下一頁。 |
| 5 |
在選取計算資源 頁面上，選擇目標計算資源，然後按一下下一頁。 執行驗證檢查。完成後，將顯示範本詳細資料。 |
| 6 |
驗證範本詳細資料，然後按一下下一頁。 |
| 7 |
如果系統要求您在組態 頁面上，按一下4 個 CPU 然後按一下下一頁。 |
| 8 |
在選取儲存體 頁面上，按一下下一頁 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在選取網路 頁面上，從項目清單中選擇網路選項，以提供與 VM 的所需連線。 |
| 10 |
在自訂範本 頁面上，設定下列網路設定：
如果願意，您可以跳過網路設定組態並遵循設定混合資料安全 VM 以從節點主控台進行設定。 在 OVA 部署期間設定網路設定的選項已使用 ESXi 7.0 進行測試。該選項在早期版本中可能不可用。 |
| 11 |
在節點 VM 上按一下滑鼠右鍵，然後選擇。 「混合資料安全」軟體以訪客身分安裝在 VM 主機上。您現在已準備好登入主控台並設定節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此流程首次登入「混合資料安全節點虛擬機」主控台並設定登入認證。如果您在部署 OVA 時未設定節點的網路設定，您也可以使用主控台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已在安裝 HDS 主機 OVA ，跳過此程序的其餘部分。否則，在主功能表中，選取編輯組態 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
開始之前
由於 ISO 檔案包含主要金鑰，因此只能在「需要知道」的情況下公開它，以供混合資料安全性 VM 和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以選擇在所有節點選取組態變更後解除掛接 ISO 檔案。請參閱（選用）在設定 HDS 後解除掛接 ISO 以獲取詳細資訊。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
開始之前
-
請參閱Proxy 支援 有關支援的 Proxy 選項的概觀。
| 1 |
輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成這些步驟，然後查看關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的所有快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在「混合服務」區段中，找到「混合資料安全」，然後按一下設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要為其指定「混合資料安全」節點的叢集名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。範例：「舊金山」或「紐約」或「達拉斯」 |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應該與您在設定混合資料安全 VM 。 出現一條訊息，指出您可以向 Webex 註冊節點。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向至 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在那裡，您確認要授予 Webex 組織存取節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，且「註冊完成」訊息指出您的節點現已向 Webex 雲端註冊。
|
| 10 |
按一下鏈結或關閉標籤以返回 Control Hub 混合資料安全性頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
此時，您在 中建立的備份 VM完成混合資料安全的先決條件 是僅在災害復原事件中使用的待命主機；在此之前，它們不會向系統註冊。有關詳細資訊，請參閱使用備用資料中心進行災害復原。
開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的所有快顯視窗攔截程式都已停用，或者您允許 admin.webex.com 的例外狀況。
| 1 |
從 OVA 建立新的虛擬機器，重複步驟安裝 HDS 主機 OVA 。 |
| 2 |
在新的 VM 上設定初始設定，重複步驟設定混合資料安全 VM 。 |
| 3 |
在新的 VM 上，重複步驟上傳並掛接 HDS 組態 ISO 。 |
| 4 |
如果要為部署設定 Proxy，請重複設定 HDS 節點以進行 Proxy 整合 根據新節點的需要。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，指出您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試用到生產任務流程
設定「混合資料安全」叢集後，您可以開始試用，將使用者新增至其中，並開始使用它來測試和驗證您的部署，為移至生產做準備。
開始之前
| 1 |
如果適用，請同步 如果您的組織對使用者使用目錄同步，則必須選取 |
| 2 |
開始試用。在您執行此任務之前，您的節點會產生警報，指出服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞至混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
使用下列其中一個動作完成試用階段： |
啟動試用版
開始之前
如果您的組織對使用者使用目錄同步，則必須選取HdsTrialGroup 群組物件以同步至雲端，然後您才能為組織啟動試用服務。有關指示，請參閱Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
按一下新增使用者 並輸入一個或多個使用者的電子郵件地址，以使用您的混合資料安全節點進行試驗，以提供加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組， |
測試混合資料安全性部署
開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取 syslog，以驗證金鑰請求是否傳遞至混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以其中一個試用使用者身分登入 Webex 應用程式，然後建立空間並邀請至少一個試用使用者和一個非試用使用者。 如果您停用「混合資料安全性」部署，則在取代用戶端快取的加密金鑰副本後，將無法再存取試驗使用者建立的空間中的內容。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查 syslog 輸出以驗證金鑰請求是否傳遞至混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在Control Hub ，選取服務 從螢幕左側的功能表中。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此程序）來管理試用群組，HdsTrialGroup ; ;您可以在 Control Hub 中檢視群組成員，但無法新增或移除成員。
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
管理 HDS 部署
使用此處描述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在「混合資料安全資源」頁面上，選取叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 舊密碼和新密碼都可以使用最多 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重設— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 授權，則可以使用 Podman Desktop 來執行 HDS 設定工具，以執行下列程序中的步驟 1.a 至 1.e。請參閱使用 Podman Desktop 執行 HDS 設定工具 以獲取詳細資訊。
如果 HDS 設定工具在環境中的 Proxy 後面執行，則在1.e 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在執行，建立新的「混合資料安全節點」虛擬機，並使用新的設定 ISO 檔案進行註冊。有關更詳細的指示，請參閱建立並註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
開始之前
| 1 |
在 Web 瀏覽器中，開啟「混合資料安全」節點介面（例如，IP 位址/設定，https://192.0.2.0/setup), 輸入您為節點設定的管理員認證，然後按一下登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除 VM。（在左側導覽窗格中，用滑鼠右鍵按一下 VM，然後按一下刪除。） 如果您未刪除 VM，請記住解除掛接設定 ISO 檔案。如果沒有 ISO 檔案，您將無法使用 VM 來存取您的安全性資料。 |
使用備用資料中心進行災害復原
「混合資料安全」叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的訊息和其他內容的金鑰。對於組織內指定給「混合資料安全」的每個使用者，新的金鑰建立請求會路由至叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。遺失混合資料安全資料庫或用於綱要的設定 ISO 將導致客戶內容無法復原。若要防止此類流失，必須執行下列作法：
若災害導致主要資料中心中的 HDS 部署不可用，請遵循此流程以手動容錯移轉至備用資料中心。
| 1 |
啟動 HDS 設定工具並遵循為 HDS 主機建立組態 ISO 。 |
| 2 |
設定 Syslogd 伺服器後，按一下進階設定 |
| 3 |
在進階設定 頁面上，在下方新增設定或移除
|
| 4 |
完成設定程序並將 ISO 檔案儲存在容易找到的位置。 |
| 5 |
在本地系統上製作 ISO 檔案的備份副本。確保備份副本安全。此檔案包含用於資料庫內容的主要加密金鑰。將存取權限制為僅應進行組態變更的混合資料安全管理員。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，在 VM 上按一下滑鼠右鍵，然後按一下編輯設定。 。 |
| 7 |
按一下編輯設定 > CD/DVD 光碟機 1 並選取資料存放區 ISO 檔案。 確保已連線 和開啟電源時連線 已勾選，以便更新的組態變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此過程。 檢查 syslog 輸出以確認備用資料中心的節點未處於被動模式。「KMS 已設定為被動模式」不應出現在 syslog 中。 |
下一步
（選用）在設定 HDS 後解除掛接 ISO
標準 HDS 組態在掛接 ISO 的情況下執行。但是，有些客戶不希望持續掛接 ISO 檔案。您可以在所有 HDS 節點選取新組態後解除掛接 ISO 檔案。
您仍會使用 ISO 檔案來進行組態變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上掛接更新的 ISO。當您的所有節點選取組態變更後，您可以使用此程序再次解除掛接 ISO。
開始之前
將所有 HDS 節點升級至版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選取 HDS 節點。 |
| 3 |
選擇 並取消勾選資料存放區 ISO 檔案。 |
| 4 |
開啟 HDS 節點並確保至少 20 分鐘內沒有警報。 |
| 5 |
依次對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法連線，或者叢集執行速度太慢以致請求逾時，則認為「混合資料安全」部署不可用。如果使用者無法存取您的混合資料安全叢集，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
請務必正確監控「混合資料安全性叢集」並及時處理任何警示以避免服務中斷。
警示
如果混合資料安全性設定有問題，Control Hub 會向組織管理員顯示警示，並向設定的電子郵件地址傳送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以存取中指定的 Webex 伺服器外部連線需求。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查 Control Hub 是否有任何警示，並修正您在 Control Hub 中找到的任何項目。 |
| 2 |
檢閱 Syslog 伺服器輸出以了解混合資料安全部署中的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他注意事項
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失設定 ISO 檔案或無法存取 keystore 資料庫，則 Webex 應用程式使用者無法再使用其「人員」下的空間使用 KMS 中的金鑰建立的清單。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為「混合資料安全」試用服務的成員時，使用者的用戶端會繼續使用現有的 ECDH 連線，直到逾時為止。或者，使用者可以登出並重新登入 Webex 應用程式，以更新應用程式聯絡以獲取加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 執行 HDS 設定工具
Podman 是一個免費的開放源碼容器管理工具，它提供了一種執行、管理和建立容器的方法。Podman Desktop 可從以下位置下載：https://podman-desktop.io/downloads 。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。若要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在環境中的 Proxy 後面執行，請在步驟中啟動 Docker 容器時，透過 Docker 環境變數提供 Proxy 設定（伺服器、連接埠、憑證） 5 。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的組態 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。每當您進行組態變更時，都需要此檔案的最新副本，例如：
-
資料庫認證
-
憑證更新
-
授權原則變更
-
-
如果您計劃加密資料庫連線，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
混合資料安全設定程序會建立 ISO 檔案。然後，您可以使用 ISO 來設定「混合資料安全」主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此程序作為指南，以幫助您建立符合 X.509 憑證需求的檔案X.509 憑證需求。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其另存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立名為
|
| 4 |
使用好記名稱建立 .p12 檔案
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回至完成混合資料安全的先決條件。您將使用hdsnode.p12 檔案，以及您為其設定的密碼，在為 HDS 主機建立組態 ISO 。
當原始憑證過期時，您可以重複使用這些檔案來請求新的憑證。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送至 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
「混合資料安全」節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid Proxy 可能會干擾 WebSocket 的建立（wss: ）連線（混合資料安全性所需）。這些部分提供有關如何設定要忽略的各種 Squid 版本的指引wss: 流量以確保服務正常運作。
Squid 4 和 5
新增on_unsupported_protocol 指令至squid.conf：
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試混合資料安全性，並將以下規則新增至squid.conf。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all前言
新資訊和變更訊息
|
日期 |
進行的變更 |
|---|---|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行安裝程式。請參閱 Docker 桌面要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來要求另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。有關詳細信息，請參閱 虛擬主機要求 。 |
|
2021 年 2 月 24 日 |
HDS 設定工具現在可以在代理程式後運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS 現在無需安裝 ISO 檔案即可運作。有關詳細信息，請參閱 （可選）在 HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
在 為 HDS 主機建立配置 ISO新增了有關 HDS 設定工具和代理程式的資訊。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新了 為 HDS 主機建立配置 ISO 和 更改節點配置 ，並使用適用於 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新了 為 HDS 主機建立配置 ISO 和 更改節點配置 ，並對登入程序進行了變更。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 以刪除最大主機數量。 |
|
2020 年 6 月 16 日 |
更新了 刪除節點 以適應控制中心 UI 中的變更。 |
|
2020 年 6 月 4 日 |
更新了 為 HDS 主機建立配置 ISO 以變更您可能設定的進階設定。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫、UI 變更和其他說明一起使用。 |
|
2020 年 5 月 5 日 |
更新了 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
使用新的美洲 CI 主機更新了 外部連線需求 。 |
|
2020 年 4 月 1 日 |
更新了 外部連線要求 ，其中包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新了 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新的可選高級設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 闡明了在 代理伺服器要求中封鎖的外部 DNS 解析模式的工作要求。 |
| 2019 年 11 月 19 日 |
在以下章節中新增了有關封鎖的外部 DNS 解析模式的資訊： |
|
2019 年 11 月 8 日 |
現在您可以在部署 OVA 時（而不是之後）配置節點的網路設定。 相應更新了以下章節： OVA 部署期間配置網路設定的選項已使用 ESXi 6.5 進行了測試。該選項在早期版本中可能不可用。 |
|
2019 年 9 月 6 日 |
在 資料庫伺服器要求中新增了 SQL Server Standard。 |
| 2019 年 8 月 29 日 | 新增了 為混合資料安全性配置 Squid 代理 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以確保正常運作的指導。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，以涵蓋混合資料安全節點與 Webex 雲端通訊的代理支援。 若要存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex 視訊網格的代理支援 說明文章。 |
| 2019年6月13日 | 更新了 試用到生產任務流程 ，如果您的組織使用目錄同步，則提醒您在開始試用之前同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從第一天起，資料安全就是設計 Webex App 的主要關注點。這種安全性的基石是端對端內容加密，由與金鑰管理服務 (KMS) 互動的 Webex App 用戶端實作。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶都可以在 Cisco 的安全性領域中使用儲存在雲端 KMS 中的動態金鑰來獲得端對端加密。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下所示。
為了進一步了解混合資料安全，我們首先來看看純雲端案例，其中思科在其雲端領域中提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是在使用者筆記型電腦上運行的 Webex 應用程序，並已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您會將安全性領域功能（KMS、索引和合規性）移至您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的領域。
與其他組織協作
您組織中的使用者可能會定期使用 Webex 應用程式與其他組織中的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從適當的 KMS 取得金鑰，然後在原始通道上將金鑰傳回給您的使用者。
組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶的大量投入以及對擁有加密金鑰所帶來的風險的認識。
要部署混合資料安全，您必須提供：
-
位於 受 Cisco Webex Teams 計畫支援位置的國家的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
您為混合資料安全所建置的配置 ISO 或您提供的資料庫的完全遺失將導致金鑰遺失。金鑰遺失會阻止使用者解密 Webex App 中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
一旦發生災難，例如資料庫磁碟故障或資料中心災難，準備好執行快速災難復原。
HDS 部署後，沒有機制將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全— 這包括準備所需的基礎架構和安裝混合資料安全軟體，以試用模式使用一部分使用者測試您的部署，以及在測試完成後轉移到生產環境。這會將整個組織轉換為使用混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試用和生產階段。
-
維護您的混合資料安全部署—Webex 雲端自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在 Control Hub 中使用螢幕通知並設定基於電子郵件的警報。
-
了解常見警報、故障排除步驟和已知問題— 如果您在部署或使用混合資料安全時遇到麻煩，本指南的最後一章和已知問題附錄可能會幫助您確定和解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於單獨虛擬主機上的單一節點叢集。節點透過安全的 websocket 和安全性 HTTP 與 Webex 雲端通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少有三個。擁有多個節點可確保在節點上進行軟體升級或其他維護活動期間服務不會中斷。（Webex 雲端一次僅升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在 Control Hub 中註冊節點時，它們就會變成活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
設定混合資料安全部署後，您首先與一組試點使用者一起嘗試它。在試用期間，這些使用者使用您的本地混合資料安全域來取得加密金鑰和其他安全領域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們將在 Webex 應用程式中看到「此訊息無法解密」。
如果您對部署對於試用用戶的效果感到滿意，並且您準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。此時使用者是否保留資料存取權限取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
災難復原備用資料中心
在部署期間，您設定一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
活動資料中心和備用資料中心的資料庫相互同步，這將最大限度地減少執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新附加配置，以確保節點已註冊到組織，但不會處理流量。因此，備用資料中心的節點始終保持最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
設定災難復原備用資料中心
請依照下列步驟設定備機房ISO文件：
在開始之前
-
備用資料中心應鏡像虛擬機器的生產環境和備份 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保主動和被動叢集節點的資料庫之間啟用了資料庫同步。
| 1 |
啟動 HDS 安裝工具並依照 為 HDS 主機建立設定 ISO中提到的步驟進行操作。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下配置更新將在該主資料中心上進行。 |
| 2 |
配置完Syslogd伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置以將節點置於被動模式。在這種模式下，節點將註冊到組織並連接到雲，但不會處理任何流量。
|
| 4 |
完成配置過程並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上製作 ISO 檔案的備份副本。確保備份副本的安全。此檔案包含用於資料庫內容的主要加密金鑰。僅限制那些應該進行配置更改的混合資料安全管理員的存取權限。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下 VM，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 已連線 和 開機時連接 ，以便更新的設定變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點電源，確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以驗證節點是否處於被動模式。您應該能夠在系統日誌中看到訊息「KMS 以被動模式配置」。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不包含 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本可協助在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 如果您不使用 HDS 節點設定信任庫，則預設為 & 代理配置以整合代理。無需更新憑證。
-
透明非檢查代理— 節點未配置為使用特定的代理伺服器位址，且不需要任何變更即可與非檢查代理一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理— 使用明確代理，您可以告訴 HDS 節點使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN— 可用於存取代理機器的位址。
-
代理連接埠— 代理用於偵聽代理流量的連接埠號碼。
-
代理協定— 根據您的代理伺服器支援的內容，在以下協定之間進行選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 從下列驗證類型中選擇：
-
無— 無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
Digest—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的 Pro Pack。（請參閱https://www.cisco.com/go/pro-pack。）
Docker 桌面需求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker 最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 安裝工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 https://wiki.mozilla.org/CA:IncludedCAs中的 Mozilla 清單中的 CA（WoSign 和 StartCom 除外）。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您的組織的名稱，例如 CN 不得包含 * （通配符）。 CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用相同的憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機具有下列需求：
-
至少兩個獨立的主機（建議 3 個）位於同一安全資料中心
-
VMware ESXi 7.0 或 8.0 已安裝並正在運作。
如果您擁有早期版本的 ESXi，則必須升級。
-
每台伺服器至少有 4 個 vCPU、8 GB 主記憶體、30 GB 本地硬碟空間
資料庫伺服器要求
建立一個用於密鑰儲存的新資料庫。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩個選項。每個要求如下：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS 軟體目前安裝下列驅動程式版本以便與資料庫伺服器通訊：
|
PostgreSQL |
微軟 SQL 伺服器 |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的附加要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 上的服務主體名稱 (SPN)。請參閱 為 Kerberos 連線註冊服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆以允許 HDS 應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可與網路存取轉換 (NAT) 搭配使用或在防火牆後面運作，只要 NAT 或防火牆允許與上表中的網域目標建立所需的出站連線即可。對於進入混合資料安全節點的連接，互聯網上不應顯示任何連接埠。在您的資料中心內，用戶端需要存取 TCP 連接埠 443 和 22 上的混合資料安全節點，以便進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。這些是目前的 CI 主機：
|
區域 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 websocket 的建立 (wss:) 連接。若要解決此問題，請參閱 為混合資料安全性配置 Squid 代理。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量將解決問題。
完成「混合資料安全性」的必要條件
| 1 |
確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的 Pro Pack，並取得具有完整組織管理員權限的帳戶的憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如， |
| 3 |
準備相同的虛擬主機，將其設定為叢集中的混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個）位於同一個安全的資料中心，並且滿足 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求，準備將作為叢集的關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心。 |
| 5 |
為了快速實現災難恢復，請在不同的資料中心設定備份環境。備份環境鏡像了虛擬機器和備份資料庫伺服器的生產環境。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。至少，為了防止無法復原的資料遺失，您必須備份資料庫和為混合資料安全節點產生的配置 ISO 檔案。 由於混合資料安全節點儲存了用於加密和解密內容的金鑰，因此無法維持操作部署將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取其金鑰，因此中斷可能不會立即被注意到，但會隨著時間的推移而變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運商需要經常備份資料庫和配置 ISO 文件，並準備在發生災難性故障時重建混合資料安全資料中心。 |
| 8 |
確保您的防火牆配置允許您的混合資料安全節點進行連接，如 外部連接要求所述。 |
| 9 |
在任何執行受支援作業系統（Microsoft Windows 10 Professional 或 Enterprise 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機電腦上安裝 Docker（ https://www.docker.com），並使用可透過 http://127.0.0.1:8080.存取的 Web 瀏覽器 您使用 Docker 執行個體下載並執行 HDS 安裝工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者都將無法存取試點使用者所建立的空間中的內容。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以供日後使用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 OVA 部署期間配置網路設定的選項已使用 ESXi 7.0 和 8.0 進行了測試。該選項在早期版本中可能不可用。 |
| 4 |
登入 VM 控制台並設定登入憑證。如果在部署 OVA 時未配置節點的網路設置，請配置節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔來設定 VM。 |
| 6 |
如果網路環境需要代理配置，請指定將用於節點的代理類型，並在需要時將代理憑證新增至信任庫。 |
| 7 |
將 VM 作為混合資料安全節點註冊到 Cisco Webex 雲端。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會產生警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡已停用或您沒有看到它，請聯絡您的客戶團隊或合作夥伴組織。向他們提供您的帳號並要求為您的組織啟用混合資料安全性。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面的[]幫助 部分下載 OVA。在混合資料安全卡上，點選 編輯設定 開啟頁面。然後，按一下 幫助 部分中的 ]下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致升級應用程式時出現問題。確保下載最新版本的 OVA 檔案。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
或者，按一下 以開啟部署指南 以檢查是否有可用的該指南的更高版本。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後使用 ISO 配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，執行下列步驟中的步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 安裝工具 。
如果 HDS 設定工具在您的環境中在代理程式後面執行，請在步驟 5中啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。無論何時進行配置更改，您都需要此文件的最新副本，例如：
-
資料庫憑證
-
證書更新
-
授權政策變更
-
-
如果您計劃加密資料庫連接，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到本機主機 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用 Web 瀏覽器前往本機 該工具使用使用者名稱的第一個條目來為該帳戶設定適當的環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入 頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
輸入 HDS 存取您的金鑰資料儲存的資料庫位址和帳戶： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具會測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連線差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在系統日誌頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常，此參數是您可能想要更改的唯一參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將到期或您想要重設密碼以使先前的 ISO 檔案無效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在易於找到的位置。 | ||||||||||
| 17 |
在本機系統上製作 ISO 檔案的備份副本。 確保備份副本的安全。此檔案包含用於資料庫內容的主要加密金鑰。僅限制那些應該進行配置更改的混合資料安全管理員的存取權限。 | ||||||||||
| 18 |
若要關閉安裝工具，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果您遺失了 ISO 檔案的所有副本，那麼您也會遺失主金鑰。無法從 PostgreSQL 或 Microsoft SQL Server 資料庫還原金鑰。
我們從來沒有這把鑰匙的副本，如果您丟失了它，我們也無法提供幫助。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署可以駐留的位置，然後按 下一步。 |
| 5 |
在 選擇計算資源 頁面上，選擇目標計算資源，然後按 下一步。 運行驗證檢查。完成後，將顯示模板詳細資訊。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按 下一步 接受預設磁碟格式和虛擬機器儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，您可以跳過網路設定配置，並按照 設定混合資料安全虛擬機器 中的步驟從節點控制台配置設定。 OVA 部署期間配置網路設定的選項已使用 ESXi 7.0 和 8.0 進行了測試。該選項在早期版本中可能不可用。 |
| 11 |
右鍵點選節點VM，然後選擇 。 混合資料安全軟體作為來賓安裝在 VM 主機上。現在您可以登入控制台並配置節點。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
使用此程序首次登入混合資料安全節點 VM 控制台並設定登入憑證。如果您在部署 OVA 時沒有配置節點的網路設置，您也可以使用控制台來設定這些設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援 DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案保存主金鑰，因此它應該只在「需要知道」的基礎上公開，以供混合資料安全虛擬機和可能需要進行更改的任何管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略需要，您可以在所有節點取得配置變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）在 HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
請參閱 代理支援 以了解受支援的代理選項的概述。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後參閱 關閉已封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的所有彈出視窗阻止程式都已停用，或允許 admin.webex.com 例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全性並點選 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要指派混合資料安全節點的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”或“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 出現一則訊息，表示您可以將您的節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 片刻之後，您將被重新導向到 Webex 服務的節點連線測試。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在此處，您確認您想要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
此時，您在 完成混合資料安全的先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；直到那時他們才在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
確保瀏覽器中的所有彈出視窗阻止程式都已停用，或允許 admin.webex.com 例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您正在為部署設定代理，請根據新節點的需要重複 為代理整合配置 HDS 節點 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會產生警報，表示您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
試試到生產任務流程
設定混合資料安全叢集後，您可以啟動試點，向其中新增用戶，並開始使用它來測試和驗證您的部署，為投入生產做準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織對使用者使用目錄同步，則必須選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會產生警報，表示該服務尚未啟動。 |
| 3 |
檢查金鑰請求是否傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報的電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試用階段： |
啟動試用版
在開始之前
如果您的組織對使用者使用目錄同步，則必須先選擇 HdsTrialGroup 群組物件同步到雲端，然後才能為您的組織開始試用。如需說明，請參閱 Cisco Directory Connector 部署指南。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 並輸入一個或多個使用者的電子郵件地址，以試用混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 來管理試用群組 |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
確保您有權存取系統日誌，以驗證金鑰請求是否傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者身分登入 Webex 應用程序，然後建立一個空間並邀請至少一個試點使用者和一個非試點使用者。 如果您停用混合資料安全部署，一旦用戶端快取的加密金鑰副本被替換，試點使用者建立的空間中的內容將不再可存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出以驗證金鑰請求是否傳遞到您的混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在 Control Hub中，從螢幕左側的選單中選擇 Services 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而非此流程）來管理試用群組， HdsTrialGroup; 您可以在 Control Hub 中查看群組成員，但不能新增或刪除他們。
| 1 |
登入 Control Hub，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入 Control Hub，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入 Control Hub，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理您的 HDS 部署
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設— 新舊密碼均有效期限最長為 10 天。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，執行下列步驟中的步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 安裝工具 。
如果 HDS 設定工具在您的環境中在代理程式後面運行，請在 1.e中啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果您只有一個 HDS 節點正在運行，請建立一個新的混合資料安全節點 VM 並使用新的設定 ISO 檔案進行註冊。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在 Web 瀏覽器中，開啟混合資料安全節點介面（IP address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您就無法使用 VM 存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內分配到混合資料安全的每個用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果災難導致主資料中心的 HDS 部署不可用，請依照此程序手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 安裝工具並依照 為 HDS 主機建立設定 ISO中提到的步驟進行操作。 |
| 2 |
配置完Syslogd伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面中，新增下面的配置或刪除
|
| 4 |
完成配置過程並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上製作 ISO 檔案的備份副本。確保備份副本的安全。此檔案包含用於資料庫內容的主要加密金鑰。僅限制那些應該進行配置更改的混合資料安全管理員的存取權限。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下 VM，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 已連線 和 開機時連接 ，以便更新的設定變更可以在啟動節點後生效。 |
| 8 |
開啟 HDS 節點電源，確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出以驗證備用資料中心的節點未處於被動模式。“以被動模式配置的 KMS” 不應出現在系統日誌中。 |
下一步
（可選）HDS 配置後卸載 ISO
標準 HDS 配置在安裝 ISO 的情況下運作。但是，有些客戶不喜歡持續安裝 ISO 檔案。所有 HDS 節點都採用新配置後，您可以解除安裝 ISO 檔案。
您仍然可以使用 ISO 檔案來進行配置變更。當您透過安裝工具建立新的 ISO 或更新 ISO 時，您必須在所有 HDS 節點上安裝更新的 ISO。一旦所有節點都獲取了配置更改，您就可以按照此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到版本 2021.01.22.4720 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
打開 HDS 節點電源並確保至少 20 分鐘內沒有警報。 |
| 5 |
依序對每個 HDS 節點重複此操作。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果用戶無法存取您的混合資料安全集群，他們會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
重要的是您要正確監控混合資料安全叢集並及時處理任何警報以避免服務中斷。
警示
如果混合資料安全設定存在問題，Control Hub 會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中指定的方式存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
檢查控制中心是否有任何警報並修復在那裡發現的任何項目。 |
| 2 |
查看系統日誌伺服器輸出以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他說明
混合資料安全性的已知問題
-
如果您關閉混合資料安全叢集（透過在 Control Hub 中刪除它或關閉所有節點）、遺失配置 ISO 檔案或失去對金鑰庫資料庫的存取權限，則您的 Webex App 使用者將無法再使用其人員清單下使用 KMS 中的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到逾時。或者，使用者可以登出並重新登入 Webex App 應用程式來更新應用程式聯繫的加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一個免費的開源容器管理工具，它提供了運行、管理和建立容器的方法。Podman Desktop 可以從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中的代理程式後面執行，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。無論何時進行配置更改，您都需要此文件的最新副本，例如：
-
資料庫憑證
-
證書更新
-
授權政策變更
-
-
如果您計劃加密資料庫連接，請為 TLS 設定 PostgreSQL 或 SQL Server 部署。
混合資料安全設定過程會建立一個 ISO 檔案。然後使用 ISO 配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您確實選擇使用 OpenSSL，我們將提供此流程作為指南，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立名為
|
| 4 |
創建 。 p12 文件，其友善名稱為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將在 為 HDS 主機建立設定 ISO中使用 hdsnode.p12 檔案以及為其設定的密碼。
當原始證書到期時，您可以重新使用這些文件來申請新的證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些部分提供了有關如何配置各種版本的 Squid 來忽略 wss: 流量以確保服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們透過將以下規則新增至 squid.conf成功測試了混合資料安全性。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all前言
新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
已更新 外部連線需求 ，新增美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語，以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性入門
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理連接埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
準備您的環境
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
地區 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
設定混合資料安全性叢集
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機器和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
執行試用版並移至正式作業
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理您的 HDS 部署
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
配置 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
混合資料安全性疑難排解
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
其他說明
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO中。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年6月1日 |
|
| 2026年4月16日 |
|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，以涵蓋混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
區域 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年6月23日 |
|
| 2026年6月1日 |
|
| 2026年4月16日 |
|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 生成 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在 HDS 設定工具中設定 Syslogd 和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
配置 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
區域 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在 Web 瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
解讀HDS日誌和理解代理標籤
HDS 日誌提供有關 KMS 請求的詳細資訊。這些日誌包含各種字段，有助於識別請求的性質和相關的身份。理解這些領域對於正確解讀活動和可信賴的內部操作至關重要。
術語
為了確保在查看 HDS 日誌時能夠清晰理解，了解以下術語非常重要：
| 術語 | 定義 |
|---|---|
| 服務帳戶 | 一種服務標識，允許 Webex 服務安全地執行授權操作。 |
| 代理 | 用於在 HDS 環境中執行自動化操作的服務實體或服務帳戶標識。 |
| 代理商標籤 | HDS 日誌中包含的標籤，用於識別傳入請求的特定來源和類型，從而實現有效的存取控制稽核。 |
| 委託存取權限 | 授權服務帳戶向特定使用者發出請求 ，且該請求在其權限範圍內。以 委託請求的形式出現 :agent -> userid. |
在此上下文中，「代理」一詞特指 HDS 服務身份。這些與 Webex 其他功能中使用的 AI 代理程式無關。
只有當請求源自 以下來源時，才會被處理：
- 您組織中經過身份驗證的用戶，或者
- 一個駐留在您的組織內並經您的組織授權的 服務帳戶 。
日誌欄位概述
| 欄位 | 它代表什麼 |
|---|---|
| 時間戳記 | 手術日期和時間。 |
| kms.data.method | 執行的 KMS 操作（例如，檢索）。 |
| kms.data.orgld | 組織識別碼。 |
| kms.data.httpUserAgent | 提出請求的客戶或服務方。 |
| WEBEX_追蹤 ID | 請求的唯一追蹤識別碼。 |
| kms.data.uriHost / kms.data.uri | 請求的目標主機和資源。 |
| kms.data.userld | 執行請求的身份，包括代理標籤。 |
| kms.response.success | 指示請求是否成功。 |
請求類型 - 快速參考
| 在日誌中標記 | 代理商標籤 | 它代表什麼 | 典型操作 |
|---|---|---|---|
| 使用者類型：userAgent | 使用者代理 | 與使用者工作流程綁定的受信任服務帳戶，範圍限定在您的組織內。 | Creating/managing 用戶進程的鍵。 |
| o-agent <id> -> 使用者身分 <id> | 組織代理 | 使用委派存取權限的組織級受信任服務帳戶。 | 合規官提取 Webex 數據，日曆整合。 |
| c-agent <id> -> 使用者身分 <id> | 雲端代理 | Webex 服務為特定使用者執行委託請求。 | 病毒掃描、內容預覽、文字記錄。 |
| c-代理 <id> | 雲端代理 | Webex 服務正在執行委託請求。 | ECDHE / 會話密鑰。 |
| 最終用戶 UUID | - | 已認證的最終用戶與HDS互動。 | 使用者正在找回自己的密鑰。 |
請求類型詳解
代理標籤用於對請求來源進行分類，並有助於確定適當的存取控制。以下範例展示了多種請求類型及其關聯的代理標籤。
-
使用者代理程式（userAgent):
這些是與特定使用者工作流程關聯的受信任 Webex 服務帳戶，並且僅限於客戶組織。它們通常用於服務代表使用者工作流程建立和管理金鑰的情況。
日誌範例：
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示使用者代理程式（
userAgent）正在為 Webex 服務執行資源收集操作。 -
組織代理 (o-agent):
這些受信任的 Webex 服務帳戶被授權代表 HDS 中的使用者執行委託操作。這些帳戶的範圍限定於客戶組織，執行組織層級的操作。此功能支援多種特性，例如使合規官能夠搜尋和提取 Webex 通訊數據，從而確保組織符合監管、安全和資料隱私標準。
日誌範例：
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示組織代理程式（
o-agent 9[~]c）代表使用者（4[~]b）為 Webex 服務檢索金鑰。 - 雲端代理 (c-agent):
這些受信任的 Webex 服務帳戶被授權代表使用者透過委託存取權限對 HDS 執行操作。它們支援一些重要功能，例如會後錄音、文字記錄、反惡意軟體掃描和檔案預覽，從而提升整體使用者體驗。
雖然可以透過修改 ISO 來停用雲端代理，但客戶應該意識到這將導致某些功能遺失，例如會後錄製文字稿或自動反惡意軟體掃描。
日誌範例：
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示雲端代理（
c-agent b[~]c）代表使用者（9[~]c）檢索內容金鑰。 -
最終使用者直接互動:
已認證使用者直接與HDS互動。
日誌範例：
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true 關鍵指標: 範例日誌顯示最終使用者（
c[~]f）檢索金鑰並直接與 HDS 互動。
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可以從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新增和變更的信息
|
日期 |
進行的變更 |
|---|---|
| 2026年7月2日 |
|
| 2026年6月23日 |
|
| 2026年6月1日 |
|
| 2026年4月16日 |
|
| 2026年3月25日 |
|
|
2025年12月5日 |
|
|
2025年5月8日 |
|
|
2025年3月3日 |
|
|
2025年1月30日 |
|
|
2025年1月7日 |
|
|
2023年10月20日 |
|
|
2023年8月7日 |
|
|
2023年5月23日 |
|
|
2022年12月6日 |
|
|
2022年11月23日 |
|
|
2021 年 10 月 13 日 |
在安裝 HDS 節點之前，Docker Desktop 需要執行一個安裝程式。請參閱 Docker Desktop 要求。 |
|
2021 年 6 月 24 日 |
請注意，您可以重複使用私鑰檔案和 CSR 來申請另一個憑證。有關詳細信息，請參閱 使用 OpenSSL 產生 PKCS12 檔案 。 |
| 2021 年 4 月 30 日 |
將虛擬機器對本機硬碟空間的要求變更為 30 GB。詳情請參閱 虛擬主機需求 。 |
|
2021 年 2 月 24 日 |
HDS設定工具現在可以在代理伺服器後面運行。有關詳細信息，請參閱 為 HDS 主機建立配置 ISO 。 |
|
2021 年 2 月 2 日 |
HDS現在可以在沒有掛載ISO檔案的情況下運作。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。 |
|
2021年1月11日 |
新增了有關 HDS 設定工具和代理程式的資訊到 為 HDS 主機建立配置 ISO。 |
|
2020 年 10 月 13 日 |
已更新 下載安裝檔。 |
|
2020 年 10 月 8 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 使用 FedRAMP 環境的命令。 |
|
2020 年 8 月 14 日 |
更新 為 HDS 主機建立配置 ISO 和 更改節點配置 以變更登入程序。 |
|
2020 年 8 月 5 日 |
已更新 測試您的混合資料安全部署 以查看日誌訊息的變更。 已更新 虛擬主機要求 ，以移除最大主機數量。 |
|
2020 年 6 月 16 日 |
已更新 刪除節點 以反映控制中心 UI 的變更。 |
|
2020 年 6 月 4 日 |
已更新 為 HDS 主機建立配置 ISO 以進行您可能設定的進階設定變更。 |
|
2020 年 5 月 29 日 |
更新 為 HDS 主機建立配置 ISO 以顯示您也可以將 TLS 與 SQL Server 資料庫一起使用，UI 變更和其他說明。 |
|
2020 年 5 月 5 日 |
更新 虛擬主機要求 以顯示 ESXi 6.5 的新要求。 |
|
2020 年 4 月 21 日 |
更新 外部連線需求 包含新的美洲 CI 主機。 |
|
2020 年 4 月 1 日 |
已更新 外部連線要求 ，包含有關區域 CI 主機的資訊。 |
| 2020 年 2 月 20 日 | 更新 為 HDS 主機建立配置 ISO ，其中包含有關 HDS 設定工具中新增可選進階設定畫面的資訊。 |
| 2020年2月4日 | 已更新 代理伺服器要求。 |
| 2019 年 12 月 16 日 | 明確了阻止外部 DNS 解析模式在 代理伺服器要求中工作的要求。 |
| 2019 年 11 月 19 日 |
以下各節新增了有關「阻止外部 DNS 解析模式」的資訊： |
|
2019 年 11 月 8 日 |
現在可以在部署 OVA 時配置節點的網路設置，而不是在部署之後配置。 已據此更新以下章節： 已使用 ESXi 6.5 測試了在 OVA 部署期間配置網路設定的選項。早期版本可能不提供此選項。 |
|
2019 年 9 月 6 日 |
將 SQL Server Standard 新增至 資料庫伺服器要求。 |
| 2019 年 8 月 29 日 | 新增 配置 Squid 代理程式以實現混合資料安全性 附錄，其中包含有關配置 Squid 代理程式以忽略 websocket 流量以實現正常運作的指南。 |
| 2019 年 8 月 20 日 |
新增並更新了部分內容，涵蓋了混合資料安全節點與 Webex 雲端通訊的代理支援。 若要僅存取現有部署的代理支援內容，請參閱 混合資料安全性和 Webex Video Mesh 的代理程式支援 說明文章。 |
| 2019年6月13日 | 更新了 試用版到正式版任務流程 ，提醒您在開始試用之前，如果您的組織使用目錄同步，則需要同步 HdsTrialGroup 群組物件。 |
| 2019年3月6日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018年11月5日 |
|
| 2018 年 10 月 19 日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
更改了術語以反映 Cisco Spark 的品牌重塑：
|
| 2018年4月11日 |
|
| 2018 年 2 月 22 日 |
|
| 2018 年 2 月 15 日 |
|
| 2018 年 1 月 18 日 |
|
|
2017 年 11 月 2 日 |
|
|
2017 年 8 月 18 日 |
第一次發佈 |
混合資料安全性概觀
從一開始，資料安全就是 Webex App 設計中的首要關注點。此安全措施的核心是端對端內容加密，這是透過 Webex App 用戶端與金鑰管理服務 (KMS) 互動實現的。KMS 負責建立及管理客戶用來動態加密和解密訊息與檔案的加密金鑰。
預設情況下，所有 Webex App 用戶均可獲得端對端加密，動態金鑰儲存在 Cisco 安全性領域的雲端 KMS 中。混合資料安全會將 KMS 及其他安全相關功能移至您的企業資料中心，因此只有您才持有加密內容的金鑰。
安全領域架構
Webex 雲端架構將不同類型的服務分割到不同的領域或信任域中，如下圖所示。
為了進一步了解混合資料安全，我們首先來看這個純雲端案例，其中思科在其雲端領域提供所有功能。身分識別服務是使用者可在其中直接與其個人資訊（例如電子郵件地址）產生關聯的唯一空間，它在邏輯上和實體上都與資料中心 B 中的安全領域分隔。這兩者又與加密內容最終在資料中心 C 中儲存所在的領域分隔。
在此圖中，用戶端是運行在使用者筆記型電腦上的 Webex 應用程序，並且已透過身份服務進行身份驗證。當使用者撰寫訊息以傳送至空間時，會採取下列步驟：
-
用戶端會建立與金鑰管理服務 (KMS) 的安全連線，然後請求金鑰來加密訊息。安全連線使用 ECDH，而 KMS 使用 AES-256 主要金鑰來加密金鑰。
-
訊息在離開用戶端之前已加密。用戶端將它傳送至索引服務，該服務會建立加密的搜尋索引來協助在未來搜尋內容。
-
加密的訊息會傳送至相符性服務進行相符性檢查。
-
加密的訊息儲存在儲存領域中。
部署混合式資料安全性時，您將安全領域功能（KMS、索引和合規性）遷移到您的本機資料中心。構成 Webex 的其他雲端服務（包括身分和內容儲存）仍屬於思科的範疇。
與其他組織協作
貴組織的使用者可能會經常使用 Webex App 與其他組織的外部參與者進行協作。當其中一個使用者請求由您組織所擁有之某個空間的金鑰時（因為它是由您的其中一個使用者建立的），KMS 會透過 ECDH 保護的通道將金鑰傳送至用戶端。但是，當另一個組織擁有該空間的金鑰時，您的 KMS 會透過單獨的 ECDH 通道將請求路由到 Webex 雲，以從相應的 KMS 取得金鑰，然後透過原始通道將金鑰傳回給您的使用者。
在組織 A 上執行的 KMS 服務使用 x.509 PKI 憑證驗證與其他組織中的 KMS 的連線。有關產生用於混合資料安全部署的 x.509 憑證的詳細信息，請參閱 混合資料安全要求 （本文中）。
部署混合資料安全性的意外狀況
混合資料安全部署需要客戶投入大量精力，並意識到擁有加密金鑰所帶來的風險。
要部署混合資料安全，您必須提供：
-
位於 Cisco Webex Teams 計畫支援的國家 的安全資料中心。
-
混合資料安全需求中所述的裝置、軟體和網路存取。
如果您為混合資料安全性建置的配置 ISO 或您提供的資料庫完全遺失，則會導致金鑰遺失。金鑰遺失會導致使用者無法解密 Webex 應用程式中的空間內容和其他加密資料。如果發生此情況，您可以組建新部署，但只有新的內容才可見。若要避免失去資料存取權，您必須：
-
管理資料庫及設定 ISO 的備份與復原。
-
做好應對災難的準備，以便在發生資料庫磁碟故障或資料中心災難等突發事件時能夠迅速進行災難復原。
HDS部署後，沒有機制可以將金鑰移回雲端。
高階設定程序
本文檔涵蓋混合資料安全部署的設定和管理：
設定混合資料安全—這包括準備所需的基礎架構和安裝混合資料安全軟體，在試用模式下用一部分使用者測試您的部署，以及測試完成後，將其轉移到生產環境。這將使整個組織使用您的混合資料安全叢集來實現安全功能。
接下來的三章將詳細介紹設定、試驗和生產階段。
-
維護您的混合資料安全部署— Webex 雲端會自動提供持續升級。IT 部門可以向此部署提供一級支援人員，並視需要雇用 Cisco 支援人員。您可以在控制中心使用螢幕通知並設定電子郵件提醒。
-
了解常見警報、故障排除步驟和已知問題—如果您在部署或使用混合資料安全時遇到問題，本指南的最後一章和「已知問題」附錄可能會幫助您確定並解決問題。
混合資料安全性部署模型
在企業資料中心內，您可以將混合資料安全性部署為位於獨立虛擬主機上的單一節點叢集。節點透過安全的 WebSocket 和安全的 HTTP 與 Webex 雲端進行通訊。
在安裝過程中，我們向您提供 OVA 檔以在您提供的 VM 上設定虛擬設備。使用「HDS 設定工具」來建立您在每個節點上裝載的自訂叢集設定 ISO 檔案。混合資料安全叢集使用您提供的 Syslogd 伺服器和 PostgreSQL 或 Microsoft SQL Server 資料庫。（您可以在HDS設定工具中設定Syslogd和資料庫連線詳細資訊。）
叢集中至少可以有 2 個節點。我們建議每個集群至少配備三個。多節點設計可確保在對某個節點進行軟體升級或其他維護活動期間服務不會中斷。（Webex雲端平台一次只能升級一個節點。）
叢集中的所有節點都能夠存取同一金鑰資料庫，並將活動記錄到同一 syslog 伺服器。節點本身是無狀態的，並且以循環配置資源方式處理金鑰請求，如雲端所指示。
當您在控制中心註冊節點時，節點即變為活動狀態。若要讓個別節點暫停服務，您可以視需要將它取消註冊，稍後再重新註冊。
我們只支援每個組織一個叢集。
混合資料安全性試用模式
在設定好混合資料安全部署之後，首先要用一組試點使用者來試用。在試用期內，這些使用者使用您本地的混合資料安全域進行加密金鑰和其他安全域服務。您的其他使用者繼續使用雲端安全領域。
如果您決定在試用期間不繼續進行部署並停用服務，則試驗使用者以及在試用期間透過建立新空間與之互動的任何使用者都將無法存取訊息和內容。他們會在 Webex 應用程式中看到「此訊息無法解密」。
如果您對試用用戶的部署效果感到滿意，並準備將混合資料安全性擴展到所有用戶，則可以將部署移至生產環境。試驗使用者繼續擁有試用期間所使用金鑰的存取權。但是，您無法在正式作業模式與原始試用模式之間來回切換。如果必須停用服務（例如以便執行嚴重損壞復原），則在重新啟動時，您必須啟動新的試用版並設定新試用版的試驗使用者集，然後才能移回正式作業模式。使用者此時是否還能存取資料取決於您是否已成功維護叢集中混合資料安全節點的關鍵資料儲存和 ISO 設定檔的備份。
用於災難復原的備用資料中心
部署期間，您需要建立一個安全的備用資料中心。如果發生資料中心災難，您可以手動將部署故障轉移到備用資料中心。
主資料中心和備用資料中心的資料庫彼此同步，這將最大限度地縮短執行故障轉移所需的時間。備用資料中心的 ISO 檔案已更新，新增了額外的配置，以確保節點已註冊到組織中，但不會處理流量。因此，備用資料中心的節點始終保持最新狀態，並配備最新版本的 HDS 軟體。
活動的混合資料安全節點必須始終與活動的資料庫伺服器位於同一資料中心。
建立備用資料中心以進行災難復原
請依照以下步驟配置備用資料中心的 ISO 檔案：
在開始之前
-
備用資料中心應鏡像生產環境的虛擬機器以及備份的 PostgreSQL 或 Microsoft SQL Server 資料庫。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。（有關此故障轉移模型的概述，請參閱 災難復原備用資料中心 。）
-
確保活動叢集節點和被動叢集節點的資料庫之間已啟用資料庫同步。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置，將節點置於被動模式。在此模式下，節點將註冊到組織並連接到雲端，但不會處理任何流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌以確認節點是否為被動模式。您應該能夠在系統日誌中看到「KMS 配置為被動模式」的訊息。 |
下一步
在 ISO 檔案中配置 passiveMode 並儲存後，您可以建立另一個不帶 passiveMode 配置的 ISO 檔案副本，並將其儲存在安全的位置。此未配置 passiveMode 的 ISO 檔案副本有助於在災難復原期間快速進行故障轉移程序。有關詳細的故障轉移過程，請參閱 使用備用資料中心進行災難復原 。
Proxy 支援
混合資料安全支援明確透通檢查 Proxy 和非檢查 Proxy。您可以將這些 Proxy 連結到您的部署，以便能夠保護和監控從企業流向雲端的流量。在節點上設定 Proxy 後，您可以使用節點上的平台管理介面來管理憑證並檢查整體連線狀態。
混合資料安全節點支援以下 Proxy 選項：
-
無代理— 若您未使用 HDS 節點設定信任庫，則為預設值 & 配置代理以整合代理。無需更新憑證。
-
透明非檢查代理—節點未配置為使用特定的代理伺服器位址，且無需任何變更即可與非檢查代理程式一起工作。無需更新憑證。
-
透明隧道或檢查代理— 節點未配置為使用特定的代理伺服器位址。不需要在節點上變更 HTTP 或 HTTPS 設定。但是，節點需要根憑證以便信任 Proxy。IT 部門通常使用檢查 Proxy 來強制執行關於可以存取哪些網站以及不允許使用哪些類型的內容的政策。這種類型的 Proxy 會解密您的所有流量（甚至是 HTTPS）。
-
明確代理—透過明確代理，您可以告訴 HDS 節點要使用哪個代理伺服器和驗證方案。若要設定明確 Proxy，您必須在每個節點上輸入以下資訊：
-
代理人 IP/FQDN—可用於存取代理伺服器的位址。
-
代理埠—代理用於監聽代理流量的連接埠號碼。
-
代理協定—根據您的代理伺服器支援的功能，從以下協定中選擇：
-
HTTP — 檢視並控制用戶端傳送的所有請求。
-
HTTPS — 提供通往伺服器的通道。用戶端接收並驗證伺服器的憑證。
-
-
驗證類型— 請從下列驗證類型中選擇：
-
無—無需進一步身份驗證。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
-
基本—用於 HTTP 使用者代理在發出請求時提供使用者名稱和密碼。使用 Base64 編碼。
如果您選取 HTTP 或 HTTPS 作為 Proxy 通訊協定，則此選項可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
摘要—用於在發送敏感資訊之前確認帳戶。在透過網路傳送之前，對使用者名稱和密碼套用雜湊函數。
僅在您選取 HTTPS 作為 Proxy 通訊協定時可用。
要求您在每個節點上輸入使用者名稱和密碼。
-
-
混合資料安全節點和 Proxy 的範例
此圖顯示了混合資料安全、網路和 Proxy 之間的連線範例。對於透通檢查和 HTTPS 明確檢查 Proxy 選項，必須在 Proxy 和混合資料安全節點上安裝相同的根憑證。
已封鎖外部 DNS 解析模式（明確 Proxy 設定）
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。在內部用戶端明確進行 Proxy 設定以不允許外部 DNS 解析的部署中，如果節點無法查詢 DNS 伺服器，則會自動進入封鎖的外部 DNS 解析模式。在此模式下，節點註冊和其他 Proxy 連線測試可以繼續進行。
混合資料安全的要求
Cisco Webex 許可證需求
部署混合式資料安全：
-
您必須擁有 Cisco Webex Control Hub 的專業版套裝。（請參閱https://www.cisco.com/go/pro-pack。）
Docker Desktop 要求
在安裝 HDS 節點之前，您需要 Docker Desktop 來執行安裝程式。Docker最近更新了他們的授權模式。您的組織可能需要為 Docker 桌面付費訂閱。有關詳細資訊，請參閱 Docker 部落格文章「 Docker 正在更新和延伸我們的產品訂閱 」。
沒有 Docker Desktop 授權的客戶可以使用 Podman Desktop 等開源容器管理工具來運作、管理和建立容器。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
X.509 憑證需求
憑證鏈必須符合下列需求：
|
需求 |
詳細資訊 |
|---|---|
|
預設情況下，我們信任 Mozilla 清單中的 CA（WoSign 和 StartCom 除外） https://wiki.mozilla.org/CA:IncludedCAs。 |
|
CN 不需要能夠存取或不需要活動主機。我們建議您使用能夠反映您組織的名稱，例如 CN 不得包含 * （通配符） CN 用於向 Webex App 用戶端驗證混合資料安全節點。叢集中的所有混合資料安全節點都使用同一個憑證。KMS 使用 CN 網域而非定義在 x.509v3 SAN 欄位中的任何網域來識別自身。 使用此憑證註冊節點之後，我們便不支援變更 CN 網域名稱。請選擇可同時套用於試用部署及正式作業部署的網域。 |
|
KMS 軟體不支援使用 SHA1 簽章來驗證與其他組織的 KMS 的連線。 |
|
可使用轉換程式（例如 OpenSSL）來變更您的憑證格式。 您在執行「HDS 設定工具」時必須輸入密碼。 |
KMS 軟體不會強制施行金鑰使用或延伸金鑰使用限制。部分憑證授權單位要求對每個憑證套用延伸金鑰使用限制，例如伺服器驗證。可以使用伺服器驗證或其他設定。
虛擬主機需求
您將在叢集中設定為混合資料安全節點的虛擬主機應符合下列要求：
-
至少兩台獨立的主機（建議三台）位於同一安全資料中心內
-
已安裝並執行 VMware ESXi 7.0 或 8.0。
如果您使用的是早期版本的 ESXi，則必須進行升級。
-
每台伺服器至少需要 4 個虛擬 CPU、8 GB 主記憶體和 30 GB 本機硬碟空間
資料庫伺服器要求
建立一個新的資料庫用於儲存密鑰。不要使用預設資料庫。安裝的 HDS 應用程式會建立資料庫綱目。
資料庫伺服器有兩種選擇。具體要求如下：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
最少要有 8 個 vCPU、16-GB 主要記憶體、足夠的硬碟空間以及監視功能才能確保它未被超過（如果您要長時間執行資料庫而無需增加儲存空間，則建議使用 2-TB） |
HDS軟體目前安裝以下版本的驅動程式用於與資料庫伺服器通訊：
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC 驅動程式 42.2.5 |
SQL Server JDBC 驅動程式 4.6 此驅動程式版本支援 SQL Server Always On（ Always On 故障轉移叢集實例 和 Always On 可用性群組）。 |
針對 Microsoft SQL Server 的 Windows 驗證的其他要求
如果您希望 HDS 節點使用 Windows 驗證來存取 Microsoft SQL Server 上的金鑰庫資料庫，則需要在您的環境中進行下列設定：
-
HDS 節點、Active Directory 基礎架構和 MS SQL Server 都必須與 NTP 同步。
-
您提供給 HDS 節點的 Windows 帳戶必須具有 read/write 存取資料庫。
-
您提供給 HDS 節點的 DNS 伺服器必須能夠解析您的金鑰分發中心 (KDC)。
-
您可以將 Microsoft SQL Server 上的 HDS 資料庫執行個體註冊為 Active Directory 中的服務主體名稱 (SPN)。請參閱 註冊 Kerberos 連線的服務主體名稱。
HDS 安裝工具、HDS 啟動器和本機 KMS 都需要使用 Windows 驗證來存取金鑰庫資料庫。當使用 Kerberos 驗證請求存取權時，他們會使用 ISO 配置中的詳細資訊來建置 SPN。
外部連接要求
配置防火牆，允許HDS應用程式進行以下連線：
|
應用程式 |
通訊協定 |
埠 |
來自應用程式的指示 |
目的地 |
|---|---|---|---|---|
|
混合資料安全節點 |
TCP |
443 |
外撥 HTTPS 和 WSS |
|
|
HDS 設定工具 |
TCP |
443 |
出站 HTTPS |
|
混合資料安全節點可以與網路存取轉換 (NAT) 或防火牆搭配使用，只要 NAT 或防火牆允許到上表中的網域目標建立所需的出站連線即可。對於入站到混合資料安全節點的連接，不應從互聯網上看到任何連接埠。在您的資料中心內，用戶端需要透過 TCP 連接埠 443 和 22 存取混合資料安全節點，以進行管理。
通用身分 (CI) 主機的 URL 是特定於區域的。以下是目前 CI 主機：
|
區域 |
通用身分主機 URL |
|---|---|
|
美洲 |
|
|
歐盟 |
|
|
加拿大 |
|
| 新加坡 |
|
| 阿拉伯聯合大公國 |
|
Proxy 伺服器要求
-
我們正式支援以下可與您的混合資料安全節點整合的 Proxy 解決方案。
-
透通 Proxy — Cisco 網路安全設備 (WSA)。
-
明確 Proxy — Squid。
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾 WebSocket 連線的建立。 (wss:) 聯繫。若要解決此問題，請參閱 配置 Squid 代理程式以實現混合資料安全。
-
-
我們支援明確 Proxy 的以下驗證類型組合：
-
不使用 HTTP 或 HTTPS 進行驗證
-
使用 HTTP 或 HTTPS 進行基本驗證
-
僅使用 HTTPS 進行摘要式驗證
-
-
對於透通檢查 Proxy 或 HTTPS 明確 Proxy，您必須擁有一份 Proxy 的根憑證。本指南中的部署說明指示您如何將這份根憑證上傳到混合資料安全節點的信任儲存庫。
-
必須將託管 HDS 節點的網路設定為強制連接埠 443 上的出站 TCP 流量透過 Proxy 進行路由。
-
檢查網路流量的 Proxy 可能會干擾網路通訊端連線。如果出現此問題，繞過（不檢查）到
wbx2.com和ciscospark.com的流量即可解決問題。
完成「混合資料安全性」的必要條件
| 1 |
請確保您的 Webex 組織已啟用 Cisco Webex Control Hub 的專業版，並取得具有完整組織管理員權限的帳戶憑證。請聯絡 Cisco 合作夥伴或帳戶管理員以取得協助來處理此程序。 |
| 2 |
為您的 HDS 部署選擇一個網域名稱（例如 |
| 3 |
準備相同的虛擬主機，您將在叢集中將其設定為混合資料安全節點。您至少需要兩個獨立的主機（建議 3 個），它們位於同一個安全資料中心內，並符合 虛擬主機要求中的要求。 |
| 4 |
根據 資料庫伺服器要求準備將作為叢集關鍵資料儲存的資料庫伺服器。資料庫伺服器必須與虛擬主機位於同一安全資料中心內。 |
| 5 |
為了快速進行災難恢復，請在不同的資料中心建立備份環境。備份環境與生產環境鏡像，包括虛擬機器和備份資料庫伺服器。例如，如果正式作業有 3 個執行 HDS 節點的 VM，則備份環境應該要有 3 個 VM。 |
| 6 |
設定一個 syslog 主機以從叢集中的節點收集日誌。收集其網路位址和 syslog 埠（預設值是 UDP 514）。 |
| 7 |
為混合資料安全節點、資料庫伺服器和系統日誌主機建立安全備份策略。為防止資料遺失無法恢復，至少必須備份混合資料安全節點產生的資料庫和配置 ISO 檔案。 由於混合資料安全節點儲存用於內容加密和解密的金鑰，因此，如果未能維護運行部署，將導致該內容的 無法復原的遺失 。 Webex App 用戶端會快取金鑰，因此服務中斷可能不會立即被察覺，但隨著時間的推移會變得明顯。雖然無法阻止暫時中斷，但它們可以復原。但是，資料庫或設定 ISO 檔案完全流失（沒有可用的備份）將造成客戶資料無法復原。混合資料安全節點的營運人員應定期備份資料庫和配置 ISO 文件，並做好在發生災難性故障時重建混合資料安全資料中心的準備。 |
| 8 |
確保您的防火牆配置允許混合資料安全節點按照 外部連線要求中概述的連線。 |
| 9 |
在任何執行支援作業系統（Microsoft Windows 10 專業版或企業版 64 位，或 Mac OSX Yosemite 10.10.3 或更高版本）的本機上安裝 Docker（ https://www.docker.com），並安裝可透過 http://127.0.0.1:8080.存取 Docker 的 Web 瀏覽器。 您可以使用 Docker 執行個體下載並執行 HDS 設定工具，該工具會為所有混合資料安全節點建置本機設定資訊。您的組織可能需要 Docker Desktop 授權。有關更多信息，請參閱 Docker Desktop 要求 。 若要安裝和執行 HDS 設定工具，本機必須具有 外部連線需求中概述的連線。 |
| 10 |
如果您要將代理與混合資料安全性集成，請確保它符合 代理伺服器要求。 |
| 11 |
如果您的組織使用目錄同步，請在 Active Directory 中建立名為 給定空間的金鑰由空間的建立者設定。在選擇試點使用者時，請記住，如果您決定永久停用混合資料安全部署，所有使用者將失去對試點使用者所建立的空間中的內容的存取權。只要使用者的應用程式重新整理其快取的內容副本，該損失就會變得很明顯。 |
混合資料安全部署任務流程
| 1 |
將 OVA 檔案下載到本機以備後用。 |
| 2 |
使用 HDS 設定工具為混合資料安全節點建立 ISO 設定檔。 |
| 3 |
從 OVA 檔案建立虛擬機器並執行初始配置，例如網路設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 4 |
登入虛擬機器控制台並設定登入憑證。如果在 OVA 部署時沒有配置節點的網路設置，請設定節點的網路設定。 |
| 5 |
使用 HDS 安裝工具建立的 ISO 設定檔設定虛擬機器。 |
| 6 |
如果網路環境需要代理配置，請指定要用於節點的代理類型，並根據需要將代理憑證新增至信任儲存區。 |
| 7 |
將虛擬機器註冊到 Cisco Webex 雲端平台，作為混合式資料安全節點。 |
| 8 |
完成集群設定。 |
| 9 |
在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。 |
下載安裝檔案
| 1 |
登入 https://admin.webex.com，然後按一下服務。 |
| 2 |
在混合服務部分，找到混合資料安全卡，然後按一下 設定。 如果該卡被禁止或您看不到該卡，請聯絡您的客戶團隊或您的合作夥伴組織。提供您的帳號，並要求為您的組織啟用混合資料安全功能。若要尋找帳號，請按一下右上方位於您組織名稱旁邊的齒輪。 您也可以隨時從 設定 頁面上的 ] 說明 部分下載 OVA 檔案。在混合資料安全卡上，按一下 編輯設定 開啟頁面。然後，在 幫助 部分中，按一下 [ 下載混合資料安全軟體 。 舊版的軟體包（OVA）與最新的混合資料安全升級不相容。這可能會導致應用程式升級時出現問題。請確保您下載的是最新版本的OVA檔。 |
| 3 |
選擇 否 表示您尚未設定節點，然後按一下 下一步。 OVA 檔會自動開始下載。將檔案儲存至您機器上的位置。
|
| 4 |
（可選）點擊 開啟部署指南 查看是否有更新版本的指南可用。 |
為 HDS 主機建立設定 ISO
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，您可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1 至 5 。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中運行在代理程式之後，請在步驟 5中啟動 Docker 容器時，透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 | ||||||||||
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： | ||||||||||
| 3 |
在密碼提示中，輸入此雜湊： | ||||||||||
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： | ||||||||||
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 | ||||||||||
| 6 |
安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 使用網頁瀏覽器存取本機 該工具使用使用者名稱中的第一個條目來設定該帳戶的正確環境。然後該工具會顯示標準登入提示。 | ||||||||||
| 7 |
出現提示時，輸入您的 Control Hub 客戶管理員登入憑證，然後按一下 登入 以允許存取混合資料安全所需的服務。 | ||||||||||
| 8 |
在「設定工具」概觀頁面上，按一下入門。 | ||||||||||
| 9 |
在 ISO 匯入頁面上，您有以下選項：
| ||||||||||
| 10 |
檢查您的 X.509 證書是否符合 X.509 證書要求中的要求。
| ||||||||||
| 11 |
請輸入資料庫位址和帳號，以便HDS存取您的關鍵資料儲存： | ||||||||||
| 12 |
選擇 TLS 資料庫連線模式:
當您上傳根憑證（如有必要）並按一下 繼續時，HDS 設定工具將測試與資料庫伺服器的 TLS 連線。該工具還會驗證憑證簽署者和主機名稱（如果適用）。如果測驗失敗，該工具會顯示說明問題的錯誤訊息。您可以選擇是否忽略該錯誤並繼續進行設定。（由於連接方式的差異，即使 HDS 設定工具機器無法成功測試，HDS 節點也可能能夠建立 TLS 連線。） | ||||||||||
| 13 |
在「系統日誌」頁面上，設定您的 Syslogd 伺服器： | ||||||||||
| 14 |
（可選）您可以在 進階設定中變更某些資料庫連線參數的預設值。通常情況下，您可能只需要更改這一個參數： | ||||||||||
| 15 |
在 「重設服務帳戶密碼 」畫面上，按一下 「繼續 」 。 服務帳戶密碼的有效期限為九個月。當您的密碼即將過期或您想要重設密碼以使先前的 ISO 檔案失效時，請使用此畫面。 | ||||||||||
| 16 |
按一下下載 ISO 檔。將文件保存在容易找到的位置。 | ||||||||||
| 17 |
在本機系統上建立 ISO 檔案的備份副本。 妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 | ||||||||||
| 18 |
若要關閉安裝程序，請鍵入 |
下一步
備份設定 ISO 檔。您需要它來創建更多節點以進行恢復，或進行配置更改。如果遺失了所有 ISO 檔案副本，也遺失了主密鑰。從 PostgreSQL 或 Microsoft SQL Server 資料庫中復原金鑰是不可能的。
我們從未保存過這把鑰匙的備份，如果您丟失了鑰匙，我們也無能為力。
安裝 HDS 主機 OVA
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機。 |
| 2 |
選取檔案>部署 OVF 範本。 |
| 3 |
在精靈中，指定您先前下載的 OVA 檔案的位置，然後按 下一步。 |
| 4 |
在 選擇名稱和資料夾 頁面上，輸入節點的 虛擬機器名稱 （例如，「HDS_Node_1」），選擇虛擬機器節點部署的位置，然後按 下一步。 |
| 5 |
在 「選擇計算資源 」頁面上，選擇目標計算資源，然後按一下 「下一步」 。 運行驗證檢查。完成後，模板詳情將會顯示出來。 |
| 6 |
驗證模板詳細信息，然後按一下 下一步。 |
| 7 |
如果在 配置 頁面上要求您選擇資源配置，請按一下 4 CPU ，然後按一下 下一步。 |
| 8 |
在 選擇儲存 頁面上，按一下 下一步 以接受預設磁碟格式和 VM 儲存策略。 |
| 9 |
在 選擇網路 頁面上，從條目清單中選擇網路選項，為虛擬機器提供所需的連線。 |
| 10 |
在 自訂範本 頁面上，配置以下網路設定：
如果您願意，可以跳過網路設定配置，並按照 設定混合資料安全 VM 中的步驟從節點控制台配置設定。 在 OVA 部署期間配置網路設定的選項已在 ESXi 7.0 和 8.0 中進行了測試。早期版本可能不提供此選項。 |
| 11 |
右鍵點選節點 VM，然後選擇 。 混合資料安全軟體以客戶程式的形式安裝在虛擬機器主機上。現在您可以登入控制台並配置節點了。 疑難排解提示 在節點容器啟動之前，您可能會遇到幾分鐘延遲。首次啟動期間，橋接器防火牆訊息會出現在主控台上，在此期間您無法登入。 |
設定混合資料安全性 VM
首次登入混合資料安全節點 VM 控制台並設定登入憑證時，請使用此程序。如果您在 OVA 部署時沒有配置節點的網路設置，也可以使用控制台來設定節點的網路設定。
| 1 |
在 VMware vSphere 用戶端中，選取您的「混合資料安全性」節點 VM 並選取主控台標籤。 VM 會啟動且登入提示會出現。如果沒有顯示登入提示，請按 Enter 鍵。
|
| 2 |
使用下列預設登入和密碼來登入和變更認證： 由於您是首次登入您的 VM，因此您需要變更管理員密碼。 |
| 3 |
如果您已經在 安裝 HDS 主機 OVA中配置了網路設置，請跳過此程序的其餘部分。否則，在主選單中，選擇 編輯配置 選項。 |
| 4 |
使用 IP 位址、遮罩、閘道和 DNS 資訊來設定靜態設定。您的節點應該具有內部 IP 位址及 DNS 名稱。不支援DHCP。 |
| 5 |
（選用）根據需要變更主機名稱、網域或 NTP 伺服器以符合您的網路策略。 您不需要設定網域來符合用來取得 X.509 憑證的網域。 |
| 6 |
儲存網路設定並重新啟動 VM 讓變更生效。 |
上傳及裝載 HDS 設定 ISO
在開始之前
由於 ISO 檔案包含主金鑰，因此應僅在「需要知道」的基礎上公開，以供混合資料安全虛擬機和任何可能需要進行變更的管理員存取。確保只有那些管理員才能存取資料儲存庫。
| 1 |
從您的電腦上傳 ISO 檔： |
| 2 |
裝載 ISO 檔： |
下一步
如果您的 IT 策略要求，您可以在所有節點套用設定變更後選擇卸載 ISO 檔案。有關詳細信息，請參閱 （可選）HDS 配置後卸載 ISO 。
設定 HDS 節點以進行 Proxy 整合
如果網路環境需要 Proxy，請使用此過程指定要與混合資料安全整合的 Proxy 類型。如果選擇透通檢查 Proxy 或 HTTPS 明確 Proxy，則您可以使用節點的介面來上傳和安裝根憑證。您還可以從介面檢查 Proxy 連線，並針對任何潛在問題進行疑難排解。
在開始之前
-
有關支援的代理選項的概述，請參閱 代理支援 。
| 1 |
在網頁瀏覽器中輸入 HDS 節點設定 URL |
| 2 |
轉至信任儲存庫和 Proxy，然後選擇一個選項：
針對透通檢查 Proxy、使用基本驗證的 HTTP 明確 Proxy 或 HTTPS 明確 Proxy，請遵循後續步驟進行操作。 |
| 3 |
按一下上傳根憑證或最終實體憑證，然後導覽以選擇 Proxy 的根憑證。 憑證已上傳但尚未安裝，因為您必須重新啟動節點才能安裝憑證。按一下憑證簽發者姓名的 V 形箭頭以獲取更多詳細資訊，或者，如果您失誤並想重新上傳檔案，則按一下刪除。 |
| 4 |
按一下檢查 Proxy 連線以測驗節點與 Proxy 之間的網路連線。 如果連線測驗失敗，您將看到一則錯誤訊息，顯示錯誤原因以及如何更正問題。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器。預期在許多明確的 Proxy 設定中會出現這種情況。您可以繼續設定，且節點將在封鎖的外部 DNS 解析模式下運作。如果您認為這是一個錯誤，請完成下列步驟，然後查看 關閉封鎖的外部 DNS 解析模式。 |
| 5 |
連線測驗通過後，針對僅設為 https 的明確 Proxy，請打開開關以透過明確 Proxy 來路由來自此節點的所有連接埠 443/444 https 請求。此設定需要 15 秒才能生效。 |
| 6 |
按一下將所有憑證安裝到信任儲存庫（顯示給 HTTPS 明確 Proxy 或透通檢查 Proxy）或重新啟動（顯示給 HTTP 明確 Proxy），閱讀提示，然後在準備妥當後按一下安裝。 節點會在幾分鐘內重新啟動。 |
| 7 |
節點重新啟動後，如有需要，請再次登入，然後開啟概觀頁面檢查連線以確保它們都處於綠色狀態。 Proxy 連線檢查只會測驗 webex.com 的子網域。如果存在連線問題，則常見問題是安裝說明中列出的某些雲端網域在 Proxy 處被封鎖。 |
在叢集中註冊第一個節點
註冊第一個節點時，您會建立將獲指定節點的叢集。一個叢集包含一個以上部署以提供備援的節點。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外清單。
| 1 | |
| 2 |
從螢幕左側的功能表中，選取服務。 |
| 3 |
在混合服務部分，找到混合資料安全，然後按一下 設定。 即會顯示「註冊混合資料安全性節點」頁面。
|
| 4 |
選取是指出您已設定節點且準備好註冊它，然後按下一步。 |
| 5 |
在第一個欄位中，輸入要將混合資料安全節點指派給的叢集的名稱。 我們建議您根據叢集節點所在的地理位置來命名叢集。例如：“舊金山”、“紐約”或“達拉斯” |
| 6 |
在第二個欄位中，輸入節點的內部 IP 位址或完整網域名稱 (FQDN)，然後按下一步。 此 IP 位址或 FQDN 應與您在 設定混合資料安全 VM中使用的 IP 位址或主機名稱和網域相符。 螢幕上會顯示一則訊息，提示您可以將節點註冊到 Webex。
|
| 7 |
按一下移至節點。 |
| 8 |
按一下警告訊息中的繼續。 稍等片刻，您將被重新導向到 Webex 服務的節點連線測試頁面。如果所有測試都成功，則會顯示「允許存取混合資料安全性節點」頁面。在這裡，您可以確認是否要授予您的 Webex 組織存取您的節點的權限。
|
| 9 |
勾選允許存取您的混合資料安全性節點勾選方塊，然後按一下繼續。 您的帳戶已通過驗證，「註冊完成」訊息表示您的節點現已註冊到 Webex 雲端。
|
| 10 |
點擊連結或關閉標籤頁即可返回控制中心混合資料安全頁面。 在混合資料安全性頁面上，會顯示包含您所註冊節點的新叢集。該節點將自動從雲端下載最新的軟體。
|
建立並註冊更多節點
目前，您在 完成混合資料安全先決條件 中建立的備份虛擬機器是備用主機，僅在發生災難復原時使用；在此之前，它們不會在系統中註冊。有關詳細信息，請參閱 使用備用資料中心進行災難復原。
在開始之前
-
一旦開始註冊節點，就必須在 60 分鐘內完成註冊，否則就必須從頭再來。
-
請確保瀏覽器中所有彈出視窗攔截器均已停用，或允許 admin.webex.com 進入例外清單。
| 1 |
從 OVA 建立一個新的虛擬機，重複 安裝 HDS 主機 OVA中的步驟。 |
| 2 |
在新虛擬機器上設定初始配置，重複 設定混合資料安全虛擬機器中的步驟。 |
| 3 |
在新虛擬機器上，重複 上傳和掛載 HDS 配置 ISO中的步驟。 |
| 4 |
如果您要為部署設定代理，請根據新節點的需要重複 配置 HDS 節點以進行代理整合 中的步驟。 |
| 5 |
註冊節點。 您的節點已註冊。請注意，在您開始試用之前，您的節點會發出警報，表示您的服務尚未啟動。
|
下一步
從試驗到生產的任務流程
設定混合資料安全叢集後，您可以啟動試點項目，向其中新增用戶，並開始使用它來測試和驗證您的部署，為轉移到生產環境做好準備。
在開始之前
| 1 |
如果適用，同步 如果您的組織使用目錄同步來管理用戶，則必須先選擇 |
| 2 |
開始試用。在您完成此任務之前，您的節點會發出警報，表示該服務尚未啟動。 |
| 3 |
檢查關鍵請求是否已傳遞到您的混合資料安全部署。 |
| 4 |
檢查狀態，並設定警報電子郵件通知。 |
| 5 | |
| 6 |
透過以下操作之一完成試驗階段： |
啟動試用版
在開始之前
如果您的組織使用目錄同步來管理用戶，則必須先選擇 HdsTrialGroup 群組物件以同步到雲端，然後才能開始為您的組織進行試用。如需說明，請參閱 《 Cisco Directory Connector 部署指南》 。
| 1 |
登入 https://admin.webex.com，然後選取服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下啟動試用版。 服務狀態會變更為試用模式。
|
| 4 |
點擊 新增使用者 ，然後輸入一個或多個使用者的電子郵件地址，以試用您的混合資料安全節點進行加密和索引服務。 （如果您的組織使用目錄同步，請使用 Active Directory 管理試用群組， |
測試混合資料安全性部署
在開始之前
-
設定混合資料安全部署。
-
啟動試用版，並新增數個試用使用者。
-
請確保您有權存取系統日誌，以驗證關鍵請求是否已傳遞到您的混合資料安全部署。
| 1 |
給定空間的金鑰由空間的建立者設定。以試點使用者登入 Webex App，然後建立一個空間，並邀請至少一個試點使用者和一個非試點使用者。 如果停用混合資料安全部署，則試行使用者建立的空間中的內容在用戶端快取的加密金鑰副本被取代後將無法再存取。 |
| 2 |
將訊息傳送至新空間。 |
| 3 |
檢查系統日誌輸出，以驗證金鑰請求是否已傳遞到您的混合資料安全部署。 |
解讀HDS日誌和理解代理標籤
HDS 日誌提供有關 KMS 請求的詳細資訊。這些日誌包含各種字段，有助於識別請求的性質和相關的身份。理解這些領域對於正確解讀活動和可信賴的內部操作至關重要。
術語
為了確保在查看 HDS 日誌時能夠清晰理解，了解以下術語非常重要：
| 術語 | 定義 |
|---|---|
| 服務帳戶 | 一種服務標識，允許 Webex 服務安全地執行授權操作。 |
| 代理 | 用於在 HDS 環境中執行自動化操作的服務實體或服務帳戶標識。 |
| 代理商標籤 | HDS 日誌中包含的標籤，用於識別傳入請求的特定來源和類型，從而實現有效的存取控制稽核。 |
| 委託存取權限 | 授權服務帳戶向特定使用者發出請求 ，且該請求在其權限範圍內。以 委託請求的形式出現 :agent -> userid. |
在此上下文中，「代理」一詞特指 HDS 服務身份。這些與 Webex 其他功能中使用的 AI 代理程式無關。
只有當請求源自 以下來源時，才會被處理：
- 您組織中經過身份驗證的用戶，或者
- 一個駐留在您的組織內並經您的組織授權的 服務帳戶 。
日誌欄位概述
| 欄位 | 它代表什麼 |
|---|---|
| 時間戳記 | 手術日期和時間。 |
| kms.data.method | 執行的 KMS 操作（例如，檢索）。 |
| kms.data.orgld | 組織識別碼。 |
| kms.data.httpUserAgent | 提出請求的客戶或服務方。 |
| WEBEX_追蹤 ID | 請求的唯一追蹤識別碼。 |
| kms.data.uriHost / kms.data.uri | 請求的目標主機和資源。 |
| kms.data.userld | 執行請求的身份，包括代理標籤。 |
| kms.response.success | 指示請求是否成功。 |
請求類型 - 快速參考
| 在日誌中標記 | 代理商標籤 | 它代表什麼 | 典型操作 |
|---|---|---|---|
| 使用者類型：userAgent | 使用者代理 | 與使用者工作流程綁定的受信任服務帳戶，範圍限定在您的組織內。 | Creating/managing 用戶進程的鍵。 |
| o-agent <id> -> 使用者身分 <id> | 組織代理 | 使用委派存取權限的組織級受信任服務帳戶。 | 合規官提取 Webex 數據，日曆整合。 |
| c-agent <id> -> 使用者身分 <id> | 雲端代理 | Webex 服務為特定使用者執行委託請求。 | 病毒掃描、內容預覽、文字記錄。 |
| c-代理 <id> | 雲端代理 | Webex 服務正在執行委託請求。 | ECDHE / 會話密鑰。 |
| 最終用戶 UUID | - | 已認證的最終用戶與HDS互動。 | 使用者正在找回自己的密鑰。 |
請求類型詳解
代理標籤用於對請求來源進行分類，並有助於確定適當的存取控制。以下範例展示了多種請求類型及其關聯的代理標籤。
-
使用者代理程式（userAgent):
這些是與特定使用者工作流程關聯的受信任 Webex 服務帳戶，並且僅限於客戶組織。它們通常用於服務代表使用者工作流程建立和管理金鑰的情況。
日誌範例：
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示使用者代理程式（
userAgent）正在為 Webex 服務執行資源收集操作。 -
組織代理 (o-agent):
這些受信任的 Webex 服務帳戶被授權代表 HDS 中的使用者執行委託操作。這些帳戶的範圍限定於客戶組織，執行組織層級的操作。此功能支援多種特性，例如使合規官能夠搜尋和提取 Webex 通訊數據，從而確保組織符合監管、安全和資料隱私標準。
日誌範例：
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示組織代理程式（
o-agent 9[~]c）代表使用者（4[~]b）為 Webex 服務檢索金鑰。 - 雲端代理 (c-agent):
這些受信任的 Webex 服務帳戶被授權代表使用者透過委託存取權限對 HDS 執行操作。它們支援一些重要功能，例如會後錄音、文字記錄、反惡意軟體掃描和檔案預覽，從而增強整體使用者體驗。
雖然可以透過修改 ISO 來停用雲端代理，但客戶應該意識到這將導致 Webex App Spaces 中部分功能的遺失，例如會後錄製、轉錄、檔案預覽和自動反惡意軟體掃描。有關更多信息，請參閱 禁用雲端代理 部分。
日誌範例：
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=關鍵指標: 範例日誌顯示雲端代理（
c-agent b[~]c）代表使用者（9[~]c）檢索內容金鑰。 -
最終使用者直接互動:
已認證使用者直接與HDS互動。
日誌範例：
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true 關鍵指標: 範例日誌顯示最終使用者（
c[~]f）檢索金鑰並直接與 HDS 互動。
監視混合資料安全性的性能
| 1 |
在 控制中心中，從螢幕左側的選單中選擇 服務 。 |
| 2 |
在 Hybrid Services 區段中，找到「混合資料安全性」並按一下設定。 即會顯示「混合資料安全性設定」頁面。
|
| 3 |
在「電子郵件通知」區段中，輸入一或多個電子郵件地址並用逗點區隔，然後按 Enter 鍵。 |
在您的試用版中新增或移除使用者
如果您從試用版移除某個使用者，則該使用者的用戶端將從雲端 KMS 而不是您的 KMS 請求金鑰和金鑰建立。如果用戶端需要儲存在 KMS 上的金鑰，則雲端 KMS 將代表使用者擷取該金鑰。
如果您的組織使用目錄同步，請使用 Active Directory（而不是此流程）來管理試用群組 HdsTrialGroup。 ; 您可以在控制中心查看群組成員，但無法新增或刪除他們。
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區域的「試用模式」區段中，按一下新增使用者，或按一下檢視並編輯以從試用版移除使用者。 |
| 4 |
輸入要新增的一或多個使用者的電子郵件地址，或按一下使用者 ID 旁邊的 X 以從試用版中移除使用者。然後按一下「儲存」。 |
從試用版移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「服務狀態」區段中，按一下移至正式作業。 |
| 4 |
確認您要將所有使用者移至正式作業。 |
結束試用而不移至正式作業
| 1 |
登入控制中心，然後選擇 服務。 |
| 2 |
在混合資料安全性下，按一下 設定。 |
| 3 |
在「停用」區段中，按一下停用。 |
| 4 |
確認要停用服務並結束試用。 |
管理 HDS 部署
使用此處所述的任務來管理您的混合資料安全部署。
設定叢集升級排程
若要設定升級排程，請執行下列動作：
| 1 |
登入 Control Hub。 |
| 2 |
在「概觀」頁面上的 Hybrid Services 下，選取混合資料安全性。 |
| 3 |
在混合資料安全資源頁面上，選擇叢集。 |
| 4 |
在右側「概觀」面板上的「叢集設定」下，選取叢集名稱。 |
| 5 |
在「設定」頁面上的「升級」下，選取升級排程的時間和時區。 附註：在「時區」下，會顯示下一可用升級日期和時間。需要的話，您可以透過按一下延遲，將升級延遲至次日。 |
變更節點設定
-
由於到期或其他原因而變更 x.509 憑證。
我們不支援變更憑證的 CN 網域名稱。網域必須符合用來註冊叢集的原始網域。
-
更新資料庫設定，以變更為 PostgreSQL 或 Microsoft SQL Server 資料庫的複本。
我們不支援將資料從 PostgreSQL 移轉至 Microsoft SQL Server，反之亦然。若要切換資料庫環境，請啟動混合資料安全的新部署。
-
建立新的設定以準備新的資料中心。
同樣地，出於安全性考量，混合資料安全使用有效期限為九個月的服務帳戶密碼。在 HDS 設定工具產生這些密碼後，您要將這些密碼作為 ISO 設定檔案的一部分部署至每個 HDS 節點。如果組織的密碼接近過期，您會收到 Webex 團隊發出的通知，要求您重設機器帳戶的密碼。（電子郵件包括文字「使用機器帳戶 API 來更新密碼。」）如果您的密碼尚未過期，此工具會提供以下兩個選項：
-
軟重設—新舊密碼均可在 10 天內有效。使用此時段逐步取代節點上的 ISO 檔案。
-
硬重置— 舊密碼立即失效。
如果密碼過期而不重設，則會影響您的 HDS 服務，要求立即在所有節點上硬重設和取代 ISO 檔案。
使用此程序來產生新的設定 ISO 檔並將它套用至您的叢集。
在開始之前
-
「HDS 設定」工具在本端機器上作為 Docker 容器執行。若要加以存取，請執行該機器上的 Docker。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果您沒有 Docker Desktop 許可證，則可以使用 Podman Desktop 執行 HDS 設定工具，以執行下列步驟 1.a 至 1.e。有關詳細信息，請參閱 使用 Podman Desktop 運行 HDS 設定工具 。
如果 HDS 設定工具在您的環境中執行於代理程式之後，請在啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證） 1.e。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您需要一份現行設定 ISO 檔案才能產生新設定。ISO 包含加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主要金鑰。當您變更設定（包括資料庫認證、憑證更新項目或變更授權策略）時需要 ISO。
| 1 |
在本端機器上使用 Docker 來執行「HDS 設定」工具。 |
| 2 |
如果只有一個 HDS 節點在運行，請建立一個新的混合資料安全節點 VM，並使用新的配置 ISO 檔案註冊它。有關更詳細的說明，請參閱 建立和註冊更多節點。 |
| 3 |
針對執行較舊設定檔的現有 HDS 節點，裝載 ISO 檔案。請在每個節點上執行下列程序，更新每個節點，然後再關閉下一個節點： |
| 4 |
重複步驟 3 以取代每個正在執行舊設定的剩餘節點上的設定。 |
關閉封鎖的外部 DNS 解析模式
當您註冊節點或檢查節點的 Proxy 設定時，此程序會測試 DNS 查找以及與 Cisco Webex 雲端的連線。如果節點的 DNS 伺服器無法解析公用 DNS 名稱，則節點會自動進入封鎖的外部 DNS 解析模式。
如果節點能夠透過內部 DNS 伺服器解析公用 DNS 名稱，則您可以在每個節點上重新執行 Proxy 連線測試來關閉此模式。
在開始之前
| 1 |
在網頁瀏覽器中，開啟混合資料安全節點介面（IP位址） address/setup, 例如， https://192.0.2.0/setup), 輸入您為節點設定的管理員憑證，然後按一下 登入。 |
| 2 |
轉至概觀（預設頁面）。 啟用時，封鎖的外部 DNS 解析設定為是。 |
| 3 |
轉至信任儲存庫和 Proxy 頁面。 |
| 4 |
按一下檢查 Proxy 連線。 如果您看到有訊息指出外部 DNS 解析不成功，則節點無法連線至 DNS 伺服器且仍然採用此模式。否則，在您重新啟動節點並回到概觀頁面之後，封鎖的外部 DNS 解析應設定為「否」。 |
下一步
移除節點
| 1 |
使用您電腦上的 VMware vSphere 用戶端來登入 ESXi 虛擬主機並關閉虛擬機器的電源。 |
| 2 |
移除節點： |
| 3 |
在 vSphere 用戶端中，刪除虛擬機器。（在左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按 刪除。） 如果您不刪除虛擬機，請記得卸載配置 ISO 檔案。如果沒有 ISO 文件，您將無法使用虛擬機器存取您的安全資料。 |
使用備用資料中心進行災難復原
混合資料安全叢集提供的最關鍵服務是建立和儲存用於加密儲存在 Webex 雲端中的消息和其他內容的金鑰。對於組織內每個被分配到混合資料安全的用戶，新的金鑰建立請求都會被路由到叢集。該叢集還負責將建立的金鑰傳回給獲授權擷取金鑰的任何使用者，例如，交談空間的成員。
由於該叢集會執行重要功能來提供這些金鑰，因此必須讓叢集保持執行中且必須維護適當的備份。混合資料安全資料庫或用於架構的配置 ISO 的遺失將導致客戶內容無法復原的遺失。若要防止此類流失，必須執行下列作法：
如果發生災難導致主資料中心中的 HDS 部署不可用，請依照下列步驟手動故障轉移到備用資料中心。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 |
| 2 |
設定 Syslogd 伺服器後，點選 進階設定 |
| 3 |
在 進階設定 頁面上，新增以下配置或刪除
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對備用資料中心中的每個節點重複此程序。 檢查系統日誌輸出，確認備用資料中心的節點未處於被動模式。「KMS 配置為被動模式」不應出現在系統日誌中。 |
下一步
（可選）HDS 配置完成後卸載 ISO
標準 HDS 配置是在 ISO 驅動器安裝的情況下運作的。但是，有些客戶不希望 ISO 檔案一直處於掛載狀態。在所有 HDS 節點都取得到新配置後，即可卸載 ISO 檔案。
您仍然需要使用 ISO 檔案來進行配置變更。當您透過設定工具建立新的 ISO 或更新 ISO 時，必須將更新的 ISO 掛載到所有 HDS 節點上。所有節點都套用配置變更後，您可以使用此程序再次卸載 ISO。
在開始之前
將所有 HDS 節點升級到 2025.06.02.6983 或更高版本。
| 1 |
關閉其中一個 HDS 節點。 |
| 2 |
在 vCenter Server Appliance 中，選擇 HDS 節點。 |
| 3 |
選擇 並取消選取 資料儲存 ISO 檔案。 |
| 4 |
開啟 HDS 節點電源，並確保至少 20 分鐘內沒有警報。 |
| 5 |
對每個HDS節點依序重複上述步驟。 |
檢視警示並疑難排解
如果叢集中的所有節點都無法訪問，或者叢集運行速度太慢導致請求逾時，則混合資料安全部署被視為不可用。如果使用者無法存取您的混合資料安全集群，則會遇到以下症狀：
-
無法建立新空間（無法建立新金鑰）
-
無法解密下列使用者的訊息和空間標題：
-
新增至空間的新使用者（無法擷取金鑰）
-
空間中使用新用戶端的現有使用者（無法擷取金鑰）
-
-
只要空間中的現有使用者的用戶端具有加密金鑰的快取，他們將會繼續順利執行
正確監控混合資料安全叢集並及時處理任何警報，以避免服務中斷，這一點非常重要。
警示
如果混合資料安全設定出現問題，控制中心會向組織管理員顯示警報，並向配置的電子郵件地址發送電子郵件。警示涵蓋許多通用情境。
|
警示 |
動作 |
|---|---|
|
本端資料庫存取失敗。 |
檢查資料庫錯誤或本端網路問題。 |
|
本端資料庫連線失敗。 |
檢查資料庫伺服器是否可用，以及在節點設定中是否使用了正確的服務帳戶認證。 |
|
雲端服務存取失敗。 |
檢查節點是否可以依照 外部連線要求中的規定存取 Webex 伺服器。 |
|
更新雲端服務註冊。 |
已放棄註冊至雲端服務。正在更新註冊。 |
|
已放棄雲端服務註冊。 |
註冊至雲端服務已終止。服務正在關閉。 |
|
服務尚未啟動。 |
啟動試用版，或完成將試用版移至正式作業。 |
|
設定的網域不符合伺服器憑證。 |
確保伺服器憑證符合設定的服務啟動網域。 最可能的原因是最近變更了憑證 CN，且它現在不同於起始設定期間所使用的 CN。 |
|
無法向雲端服務驗證。 |
檢查服務帳戶認證的正確性以及是否可能過期。 |
|
無法開啟本端金鑰儲存庫檔案。 |
檢查本端金鑰儲存庫檔上的完整性和密碼正確性。 |
|
本端伺服器憑證無效。 |
檢查伺服器憑證的到期日期並確認它是由信任的憑證授權單位發出。 |
|
無法公佈度量。 |
檢查本端網路對外部雲端服務的存取權。 |
|
/media/configdrive/hds 目錄不存在。 |
檢查虛擬主機上的 ISO 裝載設定。驗證 ISO 檔是否存在，是否已設定為在重新啟動時裝載以及是否已順利裝載。 |
混合資料安全性疑難排解
| 1 |
查看控制中心是否有任何警報，並修復發現的任何問題。 |
| 2 |
查看系統日誌伺服器輸出，以了解混合資料安全部署的活動。 |
| 3 |
聯絡 Cisco 技術支援。 |
HDS開發者API
HDS Developer API 是一種透過 Webex Developer Portal 檢索分析和監控資料以及排查 HDS 部署故障的方法。API 可在 上獲得 https://developer.webex.com/messaging/docs/api/v1/hds。
混合資料安全性的已知問題
-
如果您關閉了混合資料安全叢集（透過在控制中心中刪除它或關閉所有節點），遺失了配置 ISO 文件，或失去了對金鑰庫資料庫的存取權限，您的 Webex App 使用者將無法再使用其人員清單中使用來自 KMS 的金鑰所建立的空間。這同時適用於試用版與正式作業部署。此問題目前沒有因應措施或修正程式，因此強烈要求您不要關閉正在處理活動使用者帳戶的 HDS 服務。
-
與 KMS 有現有 ECDH 連線的用戶端會維持該連線一段時間（很可能 1 小時）。當使用者成為混合資料安全試用版的成員時，使用者的用戶端將繼續使用現有的 ECDH 連接，直到連接逾時為止。或者，使用者可以登出並重新登入 Webex App，以更新應用程式用於加密金鑰的位置。
當您針對組織將試用版移至正式作業時會發生相同的行為。與先前資料安全性服務具有現有 ECDH 連線的非試用使用者將繼續使用那些服務，直到 ECDH 連線重新協商（透過逾時或登出再重新登入）為止。
使用 Podman Desktop 運行 HDS 設定工具
Podman 是一款免費開源的容器管理工具，它提供了一種運作、管理和建立容器的方法。Podman Desktop 可以從 https://podman-desktop.io/downloads下載。
-
「HDS 設定工具」在本端機器上作為 Docker 儲存器執行。要存取它，請在該機器上下載並執行 Podman。設定程式需要擁有貴組織完整管理員許可權的 Control Hub 帳戶憑證。
如果 HDS 設定工具在您的環境中執行在代理程式之後，請在步驟 5 啟動 Docker 容器時透過 Docker 環境變數提供代理設定（伺服器、連接埠、憑證）。此表格提供了一些可能的環境變數：
說明
變數
HTTP Proxy 不含驗證
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy 不含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy 含驗證
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy 含驗證
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
您產生的設定 ISO 檔案包含用於加密 PostgreSQL 或 Microsoft SQL Server 資料庫的主金鑰。每次進行配置變更時，例如執行以下操作，都需要此文件的最新版本：
-
資料庫憑證
-
證書更新
-
授權策略的變更
-
-
如果您計劃加密資料庫連接，請為您的 PostgreSQL 或 SQL Server 部署設定 TLS。
混合資料安全設定過程會建立一個 ISO 檔案。然後，您可以使用 ISO 檔案配置混合資料安全主機。
| 1 |
在機器的指令行中，輸入適合您環境的指令： 在一般環境中： 在 FedRAMP 環境中： 此步驟會清理先前的 HDS 設定工具映像。如果沒有先前的映像，則會返回錯誤，但您可加以忽略。 |
| 2 |
若要登入 Docker 映像登錄，請輸入下列項目： |
| 3 |
在密碼提示中，輸入此雜湊： |
| 4 |
下載適用於您環境的最新穩定映像： 在一般環境中： 在 FedRAMP 環境中： |
| 5 |
提取完成後，輸入適用於您環境的指令：
當儲存器在執行中時，您會看到「Express Server 正在連接埠 8080 上接聽」。 安裝工具不支援透過 連接到 localhost。 http://localhost:8080。使用 http://127.0.0.1:8080 連接到本機。 |
下一步
禁用雲端代理
請依照下列步驟停用 HDS 部署的雲端代理程式。
這將導致 Webex App Spaces 中諸如會後錄製、文字記錄、檔案預覽和自動反惡意軟體掃描等功能遺失。
| 1 |
啟動 HDS 設定工具，並依照 中提到的步驟為 HDS 主機建立設定 ISO。 ISO 檔案必須是主資料中心的原始 ISO 檔案的副本，以下設定更新將基於該副本進行。 |
| 2 |
配置 Syslogd 伺服器後，點選 進階設定。 |
| 3 |
在 進階設定 頁面上，新增以下配置以停用雲端代理。這將確保不允許雲端代理處理 HDS 流量。
|
| 4 |
完成配置過程，並將 ISO 檔案保存在易於找到的位置。 |
| 5 |
在本機系統上建立 ISO 檔案的備份副本。妥善保管備份副本。此檔案包含用於資料庫內容的主要加密金鑰。僅允許有權進行配置變更的混合資料安全管理員存取。 |
| 6 |
在 VMware vSphere 用戶端的左側導覽窗格中，以滑鼠右鍵按一下虛擬機，然後按一下 編輯設定。。 |
| 7 |
點選 編輯設定 >CD/DVD 驅動器 1 並選擇資料儲存 ISO 檔案。 確保選取 「已連線 」和 「開機時連接 」 ，以便更新的設定變更在節點啟動後生效。 |
| 8 |
開啟 HDS 節點電源，並確保至少 15 分鐘內沒有警報。 |
| 9 |
對 HDS 部署中的每個節點重複此程序。 透過檢查系統日誌中是否存在以下條目來確認雲端代理程式已停用：「雲端代理更新已停用」。 |
使用 OpenSSL 來產生 PKCS12 檔
在開始之前
-
OpenSSL 是一個工具，能夠用來建立適當格式的 PKCS12 檔以在「HDS 設定工具」中載入。還有其他方式執行此動作，我們不支援也不能將一種方式升級至另一種。
-
如果您選擇使用 OpenSSL，我們將提供此流程作為指導，以協助您建立符合 X.509 憑證要求中的 X.509 憑證要求的檔案。在繼續進行之前先瞭解這些需求。
-
在受支援的環境中安裝 OpenSSL。如需軟體與文件，請參閱 https://www.openssl.org。
-
建立私密金鑰。
-
當您收到來自憑證授權單位 (CA) 的伺服器憑證時，開始此程序。
| 1 |
當您從 CA 收到伺服器憑證時，請將其儲存為 |
| 2 |
將憑證顯示成文字，並驗證詳細資料。
|
| 3 |
使用文字編輯器建立一個名為
|
| 4 |
建立名為
|
| 5 |
檢查伺服器憑證詳細資料。 |
下一步
返回 完成混合資料安全的先決條件。您將使用 hdsnode.p12 檔案以及您為其設定的密碼，在 為 HDS 主機建立設定 ISO。
當原始證書過期時，您可以重複使用這些文件來申請新證書。
HDS 節點與雲端之間的流量
外撥度量收集流量
混合資料安全節點會將某些指標傳送到 Webex 雲端。其中包括資料堆上限、已用資料堆、CPU 負載以及執行緒計數的系統度量；同步與非同步執行緒上的度量；涉及上千個加密連線、延遲或請求佇列長度之警示上的度量；資料儲存庫上的度量；以及加密連線度量。節點透過頻外（不同於請求）通道來傳送加密的金鑰資料。
傳入流量
混合資料安全節點從 Webex 雲端接收以下類型的入站流量：
-
來自用戶端的加密請求，由加密服務路由
-
節點軟體的升級
設定 Squid Proxy 以實現混合資料安全
Websocket 無法透過 Squid Proxy 連線
檢查 HTTPS 流量的 Squid 代理程式可能會幹擾混合資料安全所需的 websocket (wss:) 連線的建立。這些章節提供了有關如何配置各種版本的 Squid 以忽略 wss: 流量，從而使服務正常運作的指導。
Squid 4 和 5
將 on_unsupported_protocol 指令加入 squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
我們已成功測試了混合資料安全，並在 squid.conf中新增了以下規則。這些規則可能會隨著我們開發新功能和更新 Webex 雲端而進行變更。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
