Erläuterung
Dies ist die richtige Antwort, denn die Conjur CLI ist ein Tool, mit dem Benutzer über die Kommandozeile mit der Conjur REST API interagieren können. Die Conjur CLI kann unter den Betriebssystemen Windows, Red Hat Enterprise Linux und macOS sowie in Docker-Containern ausgeführt werden. Die Conjur CLI kann mit verschiedenen Methoden installiert werden, z. B. durch Herunterladen der ausführbaren Datei, mit einem Paketmanager oder durch Ziehen des Docker-Images. Das Conjur CLI unterstützt Conjur Enterprise 12.9 oder spätere Versionen. Diese Antwort basiert auf der CyberArk Secrets Manager Dokumentation1 und dem CyberArk Secrets Manager Trainingskurs2.
Die anderen Optionen sind für die Conjur CLI nicht zutreffend. Die Conjur-Befehlszeilenschnittstelle kann von jedem Rechner aus ausgeführt werden, der Netzwerkzugriff auf den Conjur-Server hat, nicht nur vom Conjur-Leader-Knoten. Der Conjur-Leader-Knoten ist der Knoten, der Lese- und Schreibvorgänge auf der Conjur-Datenbank und der Policy Engine durchführt und die Conjur-Benutzeroberfläche und API-Endpunkte hostet. Die Conjur CLI ist für die Arbeit mit der Conjur REST API nicht erforderlich, da Benutzer auch andere Tools wie curl, Postman oder Webbrowser verwenden können, um HTTP-Anfragen an die Conjur REST API zu senden.
Die Conjur CLI implementiert die Conjur REST API für die Verwaltung von Conjur-Ressourcen, wie z.B. Rollen, Richtlinien, Geheimnisse und Audit-Records. Die Conjur-CLI bietet eine Reihe von Befehlen, die den Conjur-REST-API-Endpunkten entsprechen und es den Benutzern ermöglichen, verschiedene Operationen mit den Conjur-Ressourcen durchzuführen.

Erläuterung
Doppelkonten sind eine Methode der Passwortverwaltung, bei der zwei Konten mit identischen Berechtigungen für den Zugriff auf ein System, eine Datenbank oder eine Anwendung verwendet werden. Ein Konto ist aktiv und das andere ist zu einem bestimmten Zeitpunkt inaktiv. Das aktive Konto bleibt während der Passwortrotation unangetastet, während das inaktive Konto sein Passwort nach einer Karenzzeit ändert. Auf diese Weise kann die Anwendung immer das aktive Konto verwenden, ohne dass es zu Verzögerungen oder Fehlern aufgrund des Ablaufs oder der Änderung des Passworts kommt. Der Vorteil der Verwendung von zwei Konten besteht darin, dass die Geschäftskontinuität und der nahtlose Zugriff auf die Zielressource gewährleistet werden, insbesondere bei Anwendungen mit hoher Last und kritischen Anwendungen. Referenzen: Verwalten von Doppelkonten, Konfigurieren von Doppelkonten

Erläuterung
Die wartungsfreieste Methode, um sicherzustellen, dass der Zugriff eines Conjur-Hosts alle Änderungen an Konten in einem Safe im CyberArk-Tresor widerspiegelt, besteht darin, dem Host die Verbrauchergruppe/Rolle zuzuweisen, die vom Synchronizer für den Safe erstellt wurde. Dies bedeutet, dass der Host die Lese- und Ausführungsberechtigungen für alle Geheimnisse im Safe von der Gruppe/Rolle "Verbraucher" erbt und automatisch Zugriff auf alle neuen oder aktualisierten Geheimnisse im Safe erhält, ohne dass manuelle Eingriffe oder Richtlinienänderungen erforderlich sind. Die Gruppe/Rolle "Verbraucher" wird vom Vault Conjur Synchronizer erstellt, einem Dienst, der Geheimnisse zwischen dem CyberArk-Tresor und Conjur synchronisiert. Der Synchronizer erstellt einen Richtlinienzweig für jeden Tresor in Conjur und weist der Gruppe/Rolle "Verbraucher" Lese- und Ausführungsberechtigungen für alle Geheimnisse im Tresor zu. Der Synchronizer erstellt außerdem eine Delegationsrichtlinie für jeden Tresor, die es den Tresor-Administratoren ermöglicht, anderen Benutzern, Hosts, Gruppen oder Ebenen12 Berechtigungen zu erteilen.
Die anderen Optionen sind nicht die wartungsfreiesten Möglichkeiten, um sicherzustellen, dass der Zugriff eines Conjur-Hosts alle Änderungen an Konten in einem Safe im CyberArk-Tresor widerspiegelt. Das Schreiben eines Automatisierungsskripts zum Aktualisieren und Laden der Richtlinie des Hosts mit PATCH/update kann funktionieren, erfordert aber zusätzlichen Aufwand und Wartung, um sicherzustellen, dass das Skript immer läuft und mit den Änderungen im Safe auf dem neuesten Stand ist. Die Verwendung des yami-Ankers [&] und der Wildcard-Syntax (*) zur Pflege der Liste der Berechtigungen kann die Erstellung der Richtlinie vereinfachen, erfordert aber immer noch die manuelle Bearbeitung und das Laden der Richtlinie, wenn ein neues Geheimnis hinzugefügt oder aus dem Safe entfernt wird. Die Verwendung von PVWA, um die Conjur-Host-ID als Mitglied des Tresors hinzuzufügen, ist möglicherweise nicht möglich oder ratsam, da PVWA für die Verwaltung von menschlichen Benutzern und nicht von Conjur-Hosts konzipiert ist und möglicherweise nicht über die notwendige Integration oder Berechtigung verfügt, um dies zu tun3. Referenzen: = Vault Conjur Synchronizer 1, Synchronizer Policy Structure Erteilen von Berechtigungen auf Geheimnisse 2, Erteilen von Rollenberechtigungen auf alle Geheimnisse in einem Safe Privileged Access Manager - Self-Hosted 3, Privileged Web Access (PVWA)

Erläuterung
Laut der Dokumentation von CyberArk Sentry Secrets Manager ist Auto-Failover eine Funktion, die die automatische Beförderung eines Standby-Knotens zu einem Leader-Knoten im Falle eines Ausfalls des Leaders ermöglicht. Auto-Failover erfordert ein Quorum, d. h. eine Mehrheit von Knoten im Cluster, die verfügbar und synchronisiert sind. Ein Quorum stellt sicher, dass jeweils nur ein Knoten zum Leader befördert werden kann, und verhindert Split-Brain-Szenarien. In der Abbildung zeigt jede Option ein Netzwerkdiagramm eines Lastverteilers und vier Knoten, von denen einer mit einem roten X durchgestrichen ist, was einen Ausfall des führenden Knotens anzeigt. Der Text unter jedem Diagramm gibt an, ob ein Quorum vorhanden ist oder nicht. Option C ist das einzige Beispiel, bei dem es zu einem automatischen Failover kommt, da drei von vier Knoten beschlussfähig sind und einer der Standby-Knoten zum Leader befördert werden kann. Bei Option A gibt es kein Auto-Failover, da nur zwei der vier Knoten verfügbar sind und keine Beschlussfähigkeit besteht. Bei Option B gibt es keine automatische Ausfallsicherung, da nur einer der vier Knoten verfügbar ist und keine Beschlussfähigkeit besteht. Bei Option D gibt es keine automatische Ausfallsicherung, da kein Quorum vorhanden ist, da keiner der Knoten verfügbar ist. Referenzen: 1: Auto-Failover 2: Auto-Failover konfigurieren

Erläuterung

Im Falle eines Ausfalls des Leiters können Sie ein manuelles Failover durchführen, um einen der Standbys zum neuen Leiter zu ernennen. Der manuelle Failover-Prozess besteht aus den folgenden Schritten:
Unterbrechen Sie die Replikation für alle Standbys und Followers und ermitteln Sie den besten Failover-Kandidaten. Dieser Schritt stellt sicher, dass während des Failover-Prozesses keine Daten verloren gehen oder beschädigt werden. Der beste Failover-Kandidat ist der Standby mit der am weitesten fortgeschrittenen Replikationszeitlinie, d. h. er verfügt über die aktuellsten Daten des Leader.
Erhöhen Sie den Failover-Kandidaten zum neuen Leader. Dieser Schritt ändert die Rolle des Failover-Kandidaten von einem Standby zu einem Leader und aktualisiert seine Konfiguration entsprechend. Der neue Leader kann nun Schreibanforderungen von Clients annehmen und Daten auf andere Knoten replizieren.
Replikation wiederherstellen. In diesem Schritt werden die Replikationsverbindungen zwischen dem neuen Leader und den anderen Knoten wiederhergestellt und die Replikation der anderen Standbys und Followers auf den neuen Leader umgestellt. Dadurch wird sichergestellt, dass alle Knoten über die gleichen Daten verfügen und mit dem neuen Leader synchronisiert sind.
Referenzen: Die Schritte der manuellen Failover-Konfiguration werden im Abschnitt Configure Manual Failover der CyberArk Conjur Enterprise-Dokumentation ausführlich erläutert. Das Bild in der Frage stammt aus der gleichen Quelle.

Erläuterung
Conjur verwendet TLS-Zertifikate für die Authentifizierung zwischen Knoten und Clients. Diese Zertifikate werden entweder von Conjur selbst signiert oder von einer Drittanbieter-CA importiert. Alle Zertifikate werden in der Datei
Verzeichnis /opt/conjur/etc/ssl aus den Conjur-Containern. Dieses Verzeichnis enthält die folgenden Dateien:
ca.crt: Das CA-Zertifikat, das zur Überprüfung aller Conjur-Knotenzertifikate verwendet wird. Dies ist entweder das selbstsignierte Conjur-CA-Zertifikat oder das importierte CA-Zertifikat eines Drittanbieters.
server.crt: Das vom Conjur-Knoten für HTTPS- und mTLS-Verbindungen verwendete Server-Zertifikat. Dieses Zertifikat enthält die DNS-Namen des Knotens und des Load Balancers in den Feldern CN und SAN.
server.key: Der private Schlüssel, der dem Serverzertifikat entspricht.
cert.pem: Ein symbolischer Link auf die Server-Zertifikatsdatei.
key.pem: Ein symbolischer Link auf die Server-Schlüsseldatei.
Referenzen: Zertifikatsarchitektur, Zertifikatsanforderungen, Rotationszertifikate Erfahren Sie mehr:

Erläuterung
Secrets Provider und Secretless sind zwei Lösungen, die die Änderungen am Kubernetes-Anwendungscode minimieren können, die erforderlich sind, um Conjur für den Zugriff auf Geheimnisse zu übernehmen. Secrets Provider ist ein Kubernetes-Job oder ein Deployment, das als Init-Container oder Anwendungscontainer neben dem Anwendungs-Pod läuft. Er ruft Secrets von Conjur ab und schreibt sie in eine oder mehrere Dateien in einem freigegebenen, gemounteten Volume. Die Anwendung kann dann die Geheimnisse aus den Dateien ohne Code-Änderungen nutzen, da das Lesen lokaler Dateien eine gängige und plattformunabhängige Methode ist. Secretless ist ein Sidecar-Proxy, der als separater Container im selben Pod wie die Anwendung läuft. Er fängt die Anfragen der Anwendung an geschützte Ressourcen, wie Datenbanken oder Webservices, ab und fügt die Geheimnisse von Conjur in die Anfragen ein. Die Anwendung muss keine Geheimnisse in ihrem Code verarbeiten, da Secretless die Authentifizierung und Autorisierung für sie übernimmt. Referenzen: CyberArk Secrets Provider für Kubernetes, Secretless Broker

Erläuterung
Das Exponat zeigt ein JSON-Objekt, das den Replikationsstatus einer Datenbank in einem Secrets Manager-Cluster enthält. Secrets Manager ist eine Lösung zur Verwaltung von Geheimnissen, die Geheimnisse und Anmeldeinformationen, die von Anwendungen, DevOps-Tools und anderen Systemen verwendet werden, sicher speichert und verwaltet. Secrets Manager kann in einem Clustermodus bereitgestellt werden, der aus einem Leader-Knoten und einem oder mehreren Follower-Knoten besteht. Der Leader-Knoten ist der primäre Knoten, der alle Schreibvorgänge abwickelt und die Replikation von Daten an die Follower-Knoten koordiniert.
Die Follower-Knoten sind Nur-Lese-Knoten, die Daten vom Leader-Knoten replizieren und Anfragen von Clients und Anwendungen bedienen, die Geheimnisse abrufen oder andere Nur-Lese-Vorgänge durchführen müssen.
Um zu bestätigen, dass der Follower über eine aktuelle Kopie der Datenbank verfügt, können Sie die pgcurrentxlog_locationlocation des Leaders mit der des Followers vergleichen, gegen die Sie validieren müssen. pgcurrentxlog_location ist eine Eigenschaft, die die aktuelle Position des Write-Ahead-Logs (WAL) in der Datenbank angibt. Das WAL ist ein Mechanismus, der alle an der Datenbank vorgenommenen Änderungen in einer sequentiellen Protokolldatei aufzeichnet, bevor sie auf die eigentlichen Datendateien angewendet werden. Das WAL gewährleistet die Haltbarkeit und Konsistenz der Datenbank im Falle eines Absturzes oder eines Stromausfalls. Das WAL ermöglicht auch die Replikation von Daten vom Leader-Knoten zu den Follower-Knoten, indem es die WAL-Datensätze zu den Follower-Knoten streamt und sie auf deren lokale Datenbanken anwendet.
Durch den Vergleich der pgcurrentxlog_location-Werte zwischen dem Leader und dem Follower können Sie feststellen, wie weit der Follower in Bezug auf die WAL-Datensätze vom Leader entfernt ist. Wenn die pgcurrentxlog_location-Werte identisch oder sehr nahe beieinander liegen, bedeutet dies, dass der Follower über eine aktuelle Kopie der Datenbank verfügt und dass die Replikation ordnungsgemäß funktioniert. Wenn die pgcurrentxlog_location-Werte unterschiedlich sind oder weit auseinander liegen, bedeutet dies, dass der Follower über eine veraltete Kopie der Datenbank verfügt und dass es eine Replikationsverzögerung oder einen Replikationsfehler gibt. In diesem Fall müssen Sie das Replikationsproblem untersuchen und so schnell wie möglich beheben.
Referenzen = Secrets Manager Cluster Installation; Secrets Manager Cluster Konfiguration; Write-Ahead Logging - PostgreSQL Dokumentation

Erläuterung
Die Ursache des Problems ist A. Das auf dem Follower-DNS-Namen basierende Zertifikat ist auf dem Leader nicht vorhanden. Das bedeutet, dass der Leader keine Zertifikatsdatei hat, die mit dem in der Seed-Anforderung verwendeten Follower-DNS-Namen übereinstimmt, und daher keine gültige Seed-Datei für den Follower erzeugen kann. Dies führt zu einem 500-Fehler im Seed Fetcher-Containerprotokoll. Um das Problem zu beheben, müssen Sie ein Zertifikat mit dem Follower-DNS-Namen als Subject-Alt-Name auf dem Leader importieren und eine Kopie der Zertifikatsdatei mit einem Namen erstellen, der mit dem in der Seed-Anforderung verwendeten Follower-DNS-Namen übereinstimmt1.

Erläuterung
Die Fehlermeldung zeigt an, dass der Authenticator-Webservice auf dem Conjur-Server nicht aktiviert ist. Um den Authentifikator zu aktivieren, müssen Sie die Datei conjur.conf im Verzeichnis /opt/conjur/etc ändern und die Authentifikator-Webservice-ID zur Umgebungsvariablen CONJUR_AUTHENTICATORS hinzufügen. Wenn die Authenticator-Webservice-ID beispielsweise authn-k8s/prd-cluster-01 lautet, müssen Sie sie dem vorhandenen Wert von CONJUR_AUTHENTICATORS hinzufügen, getrennt durch ein Komma. Anschließend müssen Sie den Conjur-Dienst neu starten, damit die Änderungen wirksam werden. Dadurch wird der Authentifikator auf dem Conjur-Server aktiviert und die Kubernetes-Anwendung kann sich beim Follower-Loadbalancer authentifizieren. Referenzen: Aktivieren des Authenticator Webservice, Konfigurieren des Authenticator Webservice

Erläuterung
Gemäß der CyberArk Sentry Secrets Manager-Dokumentation1 sind die Schritte für ein Failback zum primären Standort nach einem manuellen Failover zum Disaster Recovery-Standort wie folgt:
Stoppen Sie am DR-Standort den Conjur-Leader-Knoten mit dem Befehl docker stop .
Erzeugen Sie auf der primären Site einen Seed für den neuen Leader-Knoten mit dem Befehl evoke seed leader
. Dadurch wird eine Datei namens .tar im aktuellen Verzeichnis erstellt.
Kopieren Sie auf dem primären Standort die Leader-Seed-Datei auf den neuen Leader-Server mit dem Befehl scp
.tar :.tar
Erstellen Sie auf dem neuen Leader-Server einen neuen Container mit demselben Namen wie der soeben gestoppte und laden Sie die Leader-Seed-Datei mit dem Befehl docker run -name -d -restart=always
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" cyberark/conjur:latest seed fetch .tar Auf dem neuen Leader-Server konfigurieren Sie den Conjur-Leader-Knoten mit dem Befehl evoke configure leader
-h -p
Konfigurieren Sie auf dem neuen Leader-Server den Vault Conjur Synchronizer so, dass er auf den neuen Conjur Leader verweist, indem Sie den Befehl evoke vault sync set verwenden.

Erzeugen Sie auf der DR-Site einen Seed für den neuen Standby-Knoten mit dem Befehl evoke seed standby
. Dadurch wird eine Datei namens .tar im aktuellen Verzeichnis erstellt.
Kopieren Sie auf der DR-Site die Standby-Seed-Datei auf den neuen Standby-Server mit dem Befehl scp
.tar :.tar
Erstellen Sie auf dem neuen Standby-Server einen neuen Container mit demselben Namen wie der gerade gestoppte und laden Sie die Standby-Seed-Datei mit dem Befehl docker run -name -d -restart=always
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" cyberark/conjur:latest seed fetch .tar Auf dem neuen Standby-Server melden Sie den Knoten mit dem Befehl evoke cluster enroll erneut beim Cluster an

Die anderen Optionen sind nicht korrekt, da sie entweder unnötig oder falsch sind. Es ist nicht erforderlich, CyberArk wegen einer neuen Lizenzdatei zu kontaktieren, da die Lizenz für beide Standorte gültig ist. Die Neukonfiguration des Vault Conjur Synchronizers, um auf den neuen Conjur Leader zu verweisen, ist ein Schritt, der auf dem neuen Leader-Server durchgeführt werden sollte, nicht auf dem DR-Standort.
Das Auslösen von Autofailover, um den Standby-Knoten an Standort A zum Leader zu befördern, ist nicht möglich, da der Standby-Knoten nichts von der manuellen Ausfallsicherung weiß und die Beförderungsanfrage nicht akzeptiert.

Erläuterung
= Laut der Dokumentation von CyberArk Sentry Secrets Manager wird die Methode replace verwendet, um einen vorhandenen Richtlinienzweig mit einer neuen Richtliniendatei zu überschreiben. Diese Methode eignet sich, um Änderungen an den vorhandenen Ressourcen vorzunehmen, wie z. B. das Ändern ihrer Anmerkungen, Berechtigungen oder Attribute. Bei der replace-Methode werden die vorhandenen Daten und Geheimnisse der Ressourcen beibehalten, aber alle Ressourcen, die nicht in der neuen Richtliniendatei definiert sind, werden entfernt. Um die Anmerkungen für die Authentifizierung eines Conjur-Hosts zu ändern, ist daher die replace-Methode die beste Option.
Die Append-Methode wird verwendet, um neue Ressourcen oder Daten zu einem bestehenden Richtlinienzweig hinzuzufügen, ohne die bestehenden Ressourcen zu verändern. Diese Methode eignet sich für die Erstellung neuer Hosts, Gruppen, Variablen oder Geheimnisse, nicht aber für die Änderung der vorhandenen. Die Append-Methode ignoriert alle Änderungen an den vorhandenen Ressourcen, wie z. B. Anmerkungen, und lädt nur die neuen Ressourcen oder Daten.
Die Löschmethode wird verwendet, um Ressourcen oder Daten aus einem bestehenden Richtlinienzweig zu entfernen, ohne die anderen Ressourcen zu beeinträchtigen. Diese Methode eignet sich zum Löschen von Hosts, Gruppen, Variablen oder Secrets, aber nicht zum Ändern derselben. Die Löschmethode entfernt alle Ressourcen oder Daten, die in der Richtliniendatei definiert sind, und ignoriert alle Ressourcen oder Daten, die nicht in der Richtliniendatei definiert sind.
Die Aktualisierungsmethode wird verwendet, um die Daten oder Geheimnisse zu ändern, die mit bestehenden Ressourcen verbunden sind, ohne die Ressourcen selbst zu beeinflussen. Diese Methode eignet sich zum Ändern der Werte von Variablen oder Secrets, aber nicht zum Ändern der Anmerkungen, Berechtigungen oder Attribute der Ressourcen. Die Aktualisierungsmethode lädt nur die Daten oder Geheimnisse, die in der Richtliniendatei definiert sind, und ignoriert alle Ressourcen oder Daten, die nicht in der Richtliniendatei definiert sind. Referenzen: = Annotation reference | CyberArk Docs; Policy load modes | CyberArk Docs; Policy - docs.cyberark.com

Erläuterung

Referenzen:
CyberArk Sentry Geheimnisse Manager
Dokumentation: https://docs.cyberark.com/Portal/Content/Resources/_TopNav/cc_Portal.htm CyberArk Sentry Secrets Manager Kursunterlagen: https://training.cyberark.com/learn CyberArk Whitepapers und technische Ressourcen: https://www.cyberark.com/resources/home/cyberark-secrets-manager Der Authentifizierungsablauf beginnt damit, dass der Anfragende seine Anmeldedaten an Conjur übermittelt. Dies kann in Form eines Benutzernamens und Kennworts, eines API-Schlüssels oder einer anderen unterstützten Methode erfolgen.
Conjur überprüft die vorgelegten Anmeldedaten anhand seiner internen Datenbank. Sind die Anmeldedaten gültig, erzeugt Conjur ein kurzlebiges Zugriffstoken und sendet es an den Antragsteller zurück.
Der Anfragende fügt das Zugriffstoken bei jeder nachfolgenden Anfrage zum Zugriff auf Conjur-Ressourcen hinzu. Dies ermöglicht es Conjur, den Anfragenden zu identifizieren und seinen Zugriff auf bestimmte Geheimnisse und Funktionalitäten auf der Grundlage konfigurierter Richtlinien zu autorisieren.
Schließlich wird jede Anfrage anhand der in der Richtlinie definierten Conjur RBAC-Regeln (Role-Based Access Control) bewertet. Diese Regeln legen fest, welche Benutzer und Rollen Zugang zu bestimmten Ressourcen haben und welche Aktionen sie durchführen können. Nur Anfragen, die diesen Regeln entsprechen, erhalten Zugang.

Erläuterung
Das richtige Verfahren zum Aktualisieren des CCP-Webdiensts ist D. Deinstallieren und Neuinstallieren des CCP-Webdiensts. Der CCP-Webdienst ist eine Komponente des CyberArk Central Credential Provider (CCP), die es Anwendungen ermöglicht, über REST-API-Aufrufe Geheimnisse aus dem CyberArk Tresor abzurufen. Um den CCP Web Service zu aktualisieren, müssen Sie zunächst den vorhandenen CCP Web Service über den Windows Server Manager oder die Systemsteuerung deinstallieren und dann den CCP Web Service mit dem neuesten Installationspaket von der CyberArk-Website neu installieren. Das Installationspaket enthält sowohl den Credential Provider als auch die CCP Web Service-Komponenten, und Sie müssen die Datei "AimWebService.msi" ausführen, um den CCP Web Service zu installieren. Sie müssen auch sicherstellen, dass der CCP-Webdienst über die richtige Konfiguration und die richtigen Berechtigungen verfügt und dass die CyberArk-CRL (Certificate Revocation List) auf dem CCP-Server geöffnet ist.
Die anderen Optionen sind keine korrekten Prozesse zur Aktualisierung des CCP-Webdienstes. Die Ausführung von "sudo yum update aimprv" über die Befehlszeilenschnittstelle ist ein Befehl zur Aktualisierung des Credential Providers unter Linux, nicht des CCP Web Service unter Windows. Wenn Sie auf das Installationsprogramm des Credential Providers doppelklicken und "upgrade" auswählen, wird der Credential Provider unter Windows aktualisiert, nicht der CCP-Webdienst. Ein Doppelklick auf die Datei AimWebService.msi und die Auswahl von Upgrade ist keine gültige Option, da der CCP Web Service keine Upgrade-Option unterstützt und Sie ihn zuerst deinstallieren müssen, bevor Sie ihn neu installieren. Referenzen = Upgrade des zentralen Berechtigungsnachweisanbieters (CCP) - CyberArk, Abschnitt "Upgrade des zentralen Berechtigungsnachweisanbieters (CCP)" Konfiguration des zentralen Berechtigungsnachweisanbieter-Webdienstes - CyberArk, Abschnitt "Konfiguration des zentralen Berechtigungsnachweisanbieter-Webdienstes"

Erläuterung
Conjur-Follower sind schreibgeschützte Replikate des Leaders, die Client-Anfragen zur Authentifizierung, Autorisierung und zum Abruf von Geheimnissen bedienen können. Followers können jedoch keine Schreiboperationen durchführen, wie z. B. das Erstellen oder Aktualisieren von Geheimnissen, Richtlinien oder Rollen. Wenn der Leader nicht mehr verfügbar ist, können die Followers nicht mehr mit den neuesten Daten synchronisiert werden und werden schließlich veraltet sein. Um hohe Verfügbarkeit und Datenkonsistenz zu gewährleisten, sollte der Kunde den Auto-Failover-Cluster um Standbys in jedem Rechenzentrum erweitern. Standbys sind ebenfalls Replikate des Leader, können aber an der Replikation und Promotion teilnehmen. Ein Standby ist für die synchrone Replikation konfiguriert, d. h. er erhält dieselben Aktualisierungen wie der Leader zur gleichen Zeit. Die anderen Standbys sind für die asynchrone Replikation konfiguriert, d. h. sie erhalten die Aktualisierungen vom Leader in regelmäßigen Abständen, aber nicht in Echtzeit. Bei einem Ausfall des Leader kann der synchrone Standby automatisch zum neuen Leader befördert werden, und einer der asynchronen Standbys kann der neue synchrone Standby werden. Auf diese Weise kann der Kunde sicherstellen, dass immer ein aktueller Leader zur Verfügung steht, der Schreibanforderungen bedienen und mit den Followern in verschiedenen Rechenzentren synchronisieren kann. Referenzen: Follower einrichten, Auto-Failover-Cluster einrichten, Conjur-Architektur und Einsatzreferenz