Suljettu verkko ja ilmaväli

Lyhyt vastaus

Asiakirjatyö ei käytä verkkoa lainkaan. Neljä muuta toimintoa käyttää, ja kaikki neljä ovat IT:n hallittavissa.

Tekoälyavustaja toimii suljetussa verkossa, kun mallitiedosto on kerran tuotu koneelle. Se on tämän sivun tärkein asia, ja siihen on oma osionsa.

Sanasto

Neljä termiä, jotka toistuvat tällä sivulla, tavallisin sanoin.

• Ilmaväli = kone tai verkko, jolla ei ole yhteyttä internetiin lainkaan. Puhutaan myös suljetusta tai eristetystä verkosta.
• Sisäverkkopeili = organisaation oma web-palvelin, jolle on kopioitu samat tiedostot kuin julkisella jakelupalvelimella. Työasemat hakevat tiedostot sieltä, eivät internetistä.
• Ryhmäkäytäntö (GPO) ja hallintamalli (ADMX) = Windowsin tapa jakaa asetuksia keskitetysti kaikille koneille. Sama tapa jolla lisenssiavain viedään laitekannalle.
• Työpöytäsovellus = koneelle asennettava ohjelma. Selainversio = sama työkalupakki verkkosivuna. Suljetussa verkossa käytetään työpöytäsovellusta; selainversio on verkkosivu eikä siksi toimi ilman verkkoa.

Mikä tarvitsee verkkoa ja mikä ei

Koko lista yhtenä taulukkona — myös ne rivit, joilla vastaus on kyllä.

Taulukko on kirjoitettu niin, että sen voi liittää sellaisenaan omaan riskiarvioon. Mitään ei ole jätetty pois siksi, että se näyttäisi paremmalta.

Aikaleima ja sulkutieto ovat molemmat allekirjoitusnäkymän valintaruutuja ja molemmat oletuksena pois päältä. Kumpikaan ei lähetä asiakirjaa minnekään: aikaleimapalvelulle menee vain allekirjoituksesta laskettu tarkiste ja sulkupalvelulle varmenteen tunnistetiedot. Ohjelma kertoo tämän käyttäjälle valintaruudun yhteydessä.

Selainversio ja työpöytäsovellus eivät ole sama asia

Ero kannattaa tehdä selväksi ennen kuin verkkoliikennettä mitataan, koska mittaustulos on erilainen.

• Selainversio on verkkosivu. Sivusto lataa kävijäanalytiikan ja verkkofontit, ja yhteydenottolomakkeet käyttävät verkkopalveluja. Selainversiossa ei ole lisenssitarkistusta eikä käyttäjätiliä. Sallitut ulkoiset yhteydet on rajattu palvelimen sisältöturvakäytännöllä (CSP), jonka voi lukea itse selaimen kehitystyökaluista.
• Työpöytäsovellus ei lataa kävijäanalytiikkaa eikä verkkofontteja lainkaan. Ero on tarkoituksellinen: sovelluksen on käynnistyttävä koneella jolla ei ole verkkoa, ilman että se jää odottamaan vastausta.

Johtopäätös: suljetussa verkossa käytetään työpöytäsovellusta. Selainversio sopii tutustumiseen ja koneille, joilla verkko on käytössä.

Tekoäly ilmavälissä — mallin jakelu omasta sisäverkosta

Tekoälymalli ladataan kerran ja ajetaan työasemalla. Latauslähteen voi osoittaa organisaation omaan palvelimeen, jolloin ulkoista latausta ei tarvita ollenkaan.

Tekoälyavustaja tarvitsee mallitiedoston. Se ladataan kerran ja tallennetaan työasemalle, minkä jälkeen avustaja toimii ilman verkkoa. Oletuksena lataus tulee julkisesta jakeluosoitteesta. Ryhmäkäytännöllä lähde vaihdetaan omaan palvelimeen. Työ on kolmivaiheinen ja tehdään kerran.

Vaihe 1 — pystytä peili

Hae jakelutiedostot koneella, jolla on internetyhteys, ja siirrä ne omalle palvelimelle. Mikä tahansa staattista sisältöä tarjoava web-palvelin käy: IIS, nginx tai ohjelmistojakelupisteen web-palvelin.

# 1) hae luettelotiedosto internetiin pääsevällä koneella
curl.exe -O https://pdf.koukku.ai/apuri/models.json

# 2) hae luettelossa nimetyt mallipaketit samaan kansioon
#    (tiedostonimet ja koot näkyvät luettelossa)
curl.exe -O https://pdf.koukku.ai/apuri/<paketin-tiedostonimi>.zip

# 3) siirrä kansio sellaisenaan sisäiselle palvelimelle, esim. \apuri\

Peilin vaatimukset:

• Osoitteen on oltava HTTPS. Organisaation oman varmentajan varmenne kelpaa, kunhan työasemat luottavat siihen.
• Säilytä kansiorakenne. Luettelotiedoston ja pakettien on oltava samassa keskinäisessä sijainnissa kuin lähteessä, eli käytännössä samassa kansiossa.
• Varaa levytilaa pakettien verran. Koot näkyvät luettelotiedostosta ennen kuin mitään on ladattu.
• Suositus: salli palvelimella osittaiset lataukset (HTTP Range), jolloin katkennut lataus jatkuu siitä mihin jäi.

Eheys tarkistetaan aina, myös peilistä ladattaessa: paketin tarkistussummaa verrataan luettelossa ilmoitettuun. Peiliin päätynyt vioittunut tai vaihdettu tiedosto ei mene läpi.

Vaihe 2 — osoita politiikka peiliin

Ryhmäkäytäntöeditorissa: Tietokoneen asetukset → Hallintamallit → KoukkuPDF → Apuri-mallien latauslähde (sisäverkkopeili) → Käytössä, ja kenttään luettelotiedoston osoite peilissä:

https://ohjelmistojakelu.organisaatio.fi/apuri/models.json

Sovellus lukee osoitteen kolmesta lähteestä. Ensimmäinen ei-tyhjä voittaa, tässä järjestyksessä:

Merkitys on sama kuin lisenssiavaimessa: ryhmäkäytäntö voittaa työasemalla tehdyn asetuksen, joten yksittäinen kone ei jää lataamaan internetistä politiikan ohi. Tiedostolähdettä ei tässä ole — osoite ei ole salaisuus eikä sitä tarvitse jaella tiedostona.

Vaihe 3 — todenna että peili on käytössä

1. Käynnistä sovellus työasemalla ja avaa mallienhallinta. Rivi "Jakelupalvelin" näyttää voimassa olevan lähteen. Kun siinä lukee peilin osoite, politiikka on perillä.
2. Peilipalvelimen lokiin ilmestyy pyyntö luettelotiedostosta ja paketista.
3. Tarkista tarvittaessa, että arvo tuli rekisteriin asti:

reg query "HKLM\SOFTWARE\Policies\KoukkuPDF" /v ApuriManifestUrl

Jos arvo ei ole kelvollinen http- tai https-osoite, se ohitetaan ja sovellus palaa oletuslähteeseen — tarkista silloin kirjoitusasu rekisteristä. Jos mallienhallinta ilmoittaa, ettei listaa saatu haettua, avaa sama osoite selaimessa samalta työasemalta: nimenselvitys, varmenne ja polku selviävät kerralla.

Kertaluonteinen vaihtoehto ilman peiliä

Mallienhallinnassa on "Tuo tiedostosta…", jolla paketin voi asentaa verkkolevyltä tai muistitikulta. Eheys tarkistetaan luetteloa vasten, joten luettelotiedoston on silti oltava saavutettavissa. Muutamalle koneelle tämä riittää; isolle laitekannalle peili on selvästi vähemmän työtä.

Päivitysten hallinta ilmavälissä

Käynnistyksen automaattitarkistus otetaan pois päältä, ja uudet versiot jaellaan normaalina ohjelmistopakettina.

1. Estä tarkistus: ryhmäkäytäntöeditorissa Tietokoneen asetukset → Hallintamallit → KoukkuPDF → Poista automaattipäivitys käytöstä → Käytössä. Politiikka kirjoittaa arvon HKLM\SOFTWARE\Policies\KoukkuPDF\DisableUpdater = 1.
2. Jaa uusi versio allekirjoitettuna asennuspakettina samalla mekanismilla kuin ensiasennus. Ks. Jakelu ja asennus.
3. Todenna, että politiikka tuli perille:

reg query "HKLM\SOFTWARE\Policies\KoukkuPDF" /v DisableUpdater

Kun esto on voimassa, sovellus ei ota yhteyttä päivityspalvelimeen käynnistyessään. Sen näkee myös palomuuri- tai välityspalvelinlokista: käynnistyksestä ei synny pyyntöä.

Miten todennat, ettei liikennettä synny

Kolme tapaa mitata asia itse, kevyimmästä vahvimpaan. Sama menettely käy auditoijalle näytettäväksi.

1. Aktiiviset yhteydet käynnistyksen jälkeen

Aseta ensin päivityksenesto päälle, käynnistä sovellus ja katso, mitä yhteyksiä prosessilla on:

Get-NetTCPConnection -OwningProcess (Get-Process KoukkuTaituri).Id

Odotettu tulos: ei ulkoisia etäosoitteita.

2. Palomuuri- tai välityspalvelinloki

Aja tyypillinen työjakso — avaa PDF, yhdistä, muunna, tekstintunnista, mustaa, allekirjoita, tallenna — ja tarkista lokista, ettei sovelluksesta lähde pyyntöjä. Tämä on se todiste, joka yleensä kelpaa tietoturvavastaavalle sellaisenaan, koska se tulee organisaation omasta järjestelmästä eikä toimittajalta.

3. Verkkoliikenteen kaappaus tai täysi eristys

Vahvin näyttö: kaappaa liikenne koko työjakson ajalta, tai yksinkertaisemmin irrota kone verkosta ja tee sama työ. Selainversion vastaava tarkistus tehdään selaimen kehitystyökalujen Verkko-välilehdeltä.

Mitä ilmavälissä ei voi tehdä

Rajoitukset kannattaa tietää ennen käyttöönottoa, ei sen jälkeen.

• Tekoälyavustaja ei käynnisty ilman että mallitiedosto tuodaan koneelle jotain reittiä. Vaihtoehtoja on kaksi: sisäverkkopeili tai paketin tuonti tiedostona. Täysin eristetyllä koneella, jolle ei tuoda mitään, avustaja ei ole käytettävissä. Muut työkalut toimivat normaalisti.
• Aikaleimattua allekirjoitusta ei voi tehdä. Aikaleima vaatii yhteyden ulkoiseen aikaleimapalveluun, eikä palvelun osoitetta voi vaihtaa organisaation omaan asetuksesta. Allekirjoitus itsessään onnistuu ilman aikaleimaa.
• Pitkäaikaisvalidointia ei voi tehdä. Varmenteen sulkutiedon upottaminen vaatii yhteyden varmenteen myöntäjän palveluun.
• Automaattipäivitys ei toimi — ja se on tarkoitus. Versiot tulevat IT:n kautta ohjelmistopakettina.
• Selainversio ei toimi ilmavälissä, koska se on verkkosivu. Käytä työpöytäsovellusta.

Usein kysytyt

Neljä kysymystä, jotka tulevat käyttöönotossa lähes aina vastaan.

Voiko sovelluksen asentaa koneelle, jolla ei ole koskaan ollut verkkoyhteyttä?

Kyllä. Asennuspaketti sisältää tarvitsemansa osat, eikä asennus lataa mitään verkosta. Lisenssi tulee ryhmäkäytännöllä tai tiedostona, ei aktivointipalvelimelta.

Lähteekö tekoälyavustajan käsittelemä teksti jonnekin?

Ei. Malli ajetaan työasemalla ja asiakirja pysyy koneella. Verkkoa tarvitaan vain mallitiedoston hakemiseen, ja sekin kerran — sisäverkkopeilistä silloin kun peili on käytössä.

Miten toimitaan, jos vain osa laitekannasta on suljetussa verkossa?

Politiikat kohdistetaan ryhmäkäytännöllä normaaliin tapaan. Suljetun verkon koneille annetaan päivityksenesto ja peiliosoite; muut voivat käyttää oletusasetuksia. Samaa asennuspakettia ja samaa lisenssiavainta käytetään molemmissa.

Voiko peilin laittaa olemassa olevan ohjelmistojakelupisteen yhteyteen?

Kyllä. Peili on tavallista staattista tiedostojakelua, joten jakelupisteen web-palvelin käy sellaisenaan. Vaatimuksia on kaksi: HTTPS ja kansiorakenteen säilyttäminen.

Seuraavat askeleet

Mistä jatkaa, kun suljetun verkon asetukset ovat kunnossa.

• Käyttöönoton yleiskuva — mistä aloitetaan ja missä järjestyksessä
• Jakelu ja asennus — asennuspaketti, hiljainen asennus, Intune
• Lisensointi 100–1000 työasemalle — avain ryhmäkäytännöllä, ei aktivointipalvelinta
• Vaatimustenmukaisuus ja hankinta-aineisto — mitä hankintapäätös tarvitsee
• Julkishallinnolle — lakisääteiset tehtävät ja niitä vastaavat työkalut