SecurEd implementeren: Welke hostingopties en technische eisen?

Wanneer je ervoor kiest om SecurEd te implementeren, zijn er verschillende opties voor het hosten en beheren van de gegevens.

1. Hosting in een eigen datacenter: Hierbij worden de gegevens opgeslagen in een door jou gekozen omgeving, toegankelijk via een gepersonaliseerd domein zoals klantnaam.edcontrols.com. Dit biedt controle over de locatie en beveiliging van de gegevens.

2. Private cloud: Bij deze optie worden de projecten gehost in een private cloud op een eigen server naar keuze. Dit zorgt voor fysieke scheiding van de gegevens van andere gebruikers, met de mogelijkheid om een eigen domein te gebruiken, bijvoorbeeld https://klantnaam.edcontrols.com.

3. Stand-alone versie: Deze optie maakt het mogelijk om Ed Controls in een volledig zelfstandige omgeving te gebruiken, met een eigen server en zonder dat er een internetverbinding nodig is. Dit kan handig zijn voor omgevingen met hoogwaardige veiligheidsmaatregelen of beperkte internettoegang.

Elk van deze opties biedt een andere mate van controle, beveiliging, en onafhankelijkheid, zodat je een keuze kan maken die het beste aansluit bij jouw specifieke behoeften en infrastructuur.

Technische informatie

• Voor het koppelen van de server binnen ons domein gebruiken we een SSH-tunnel. Dit verloopt via TCP-poort 22. Je kunt eventueel een IP-filter toevoegen voor ons publieke serveradres: 52.28.2.135. De traffic binnen de tunnel is versleuteld en wordt doorgeleid naar ons interne netwerk om data te lezen en schrijven naar de database, wat via poorten 9200-9300 gebeurt. Omdat dit binnen de tunnel plaatsvindt, lijkt het me niet relevant om die poorten verder te specificeren. Tijdens de installatie is er toegang nodig tot het internet omdat er een docker image gedownload moet worden, na de installatie kan dit eventueel dicht gezet worden en is er enkel SSH traffic met 52.28.2.135 nodig.
• Wij installeren onze database op de server via een door ons geoptimaliseerde Docker-image. De server moet Docker kunnen draaien, waarvoor we roottoegang nodig hebben. Als dat een probleem is, kunnen jullie zelf Docker installeren en ons de rechten geven om de Docker-image te downloaden en te installeren.
• RHEL8 als Linux wordt ondersteund zonder problemen.
•  We hebben geen installatiehandleiding, omdat de installatie wordt uitgevoerd door een van onze engineers, en dat gebeurt op afstand. Dit komt doordat het koppelen een aantal stappen binnen ons eigen cluster vereist die we niet kunnen uitbesteden.
• Een moderne server met een SSD-schijf zou voldoende moeten zijn.
• VMware virtualisatie wordt ondersteund.
• Er is geen fysieke server benodigd. Wij draaien onze database bijvoorbeeld op een Amazon EC2-server R6i.xlarge (zie https://aws.amazon.com/ec2/instance-types/r6i/).
• Data wordt opgeslagen binnen de database die op deze server draait. Er is sprake van een SSH-versleutelde tunnel tussen de server van de klant en onze cluster. Hiermee word de klant eigenaar van zijn eigen data. Als de klant de tunnel verbreekt, hebben wij geen toegang meer tot zijn data.
• SSC ICT is verantwoordelijk voor updates en onderhoud van de server. Wij monitoren op afstand de toegang tot de database en de tunnel. Mocht de tunnel down zijn wordt deze automatisch hersteld en gaat er een alert naar onze support. Onze engineers voeren op afstand updates en onderhoud uit op de database, indien nodig. Wij adviseren om de data op een aparte schijf te mounten en regelmatige backups te maken. Wij doen dit door dagelijks snapshots te maken en deze in een andere availability zone op te slaan. Wij maken geen backups van data op servers die niet door ons beheerd worden.
• We draaien geen virusscanners op onze linux servers, mocht dit wel gewenst zijn, dan is dat mogelijk.
•  Rootrechten op Linux zijn niet strikt noodzakelijk, maar wij moeten wel een SSH-tunnel kunnen opzetten en het moet mogelijk zijn om een Docker-image te draaien. Een en ander kan eventueel in detail afgestemd worden met een van onze engineers.
• Er zijn geen SSL-certificaten nodig, omdat het verkeer met de applicaties via onze firewall/proxy verloopt.
• Er zijn geen serviceaccounts nodig.