Veritas NetBackup™ 安全和加密指南
- 不断提高的 NetBackup 安全
- 安全部署模型
- 工作组
- 单数据中心
- 多数据中心
- 采用 NetBackup 的工作组
- 具备标准 NetBackup 的单数据中心
- 具备 Media Server Encryption Option (MSEO) 的单数据中心
- 具备客户端加密的单数据中心
- 在主服务器和介质服务器上使用 NBAC 的单数据中心
- 具备 NBAC 完整功能的单数据中心
- 实现了所有安全的单数据中心
- 具备标准 NetBackup 的多数据中心
- 具备 Media Server Encryption Option (MSEO) 的多数据中心
- 具备客户端加密的多数据中心
- 在主服务器和介质服务器上使用 NBAC 的多数据中心
- 具备 NBAC 完整功能的多数据中心
- 具备所有 NetBackup 安全功能的多数据中心
- 端口安全
- 审核 NetBackup 操作
- 访问控制安全
- NetBackup Access Control (NBAC) 安全
- 关于使用 NetBackup Access Control (NBAC)
- 对 NetBackup 访问管理的管理
- 关于 NetBackup Access Control (NBAC) 配置
- 配置 NetBackup Access Control (NBAC)
- 配置主服务器和介质服务器的“访问控制”主机属性
- 客户端的访问控制主机属性对话框
- 故障排除访问管理
- 使用访问管理实用程序
- 关于确定谁可以访问 NetBackup
- 查看 NetBackup 用户组的特定用户权限
- 升级 NetBackup Access Control (NBAC)
- 当较早版本的 NetBackup 使用安装在远程计算机上的根代理时升级 NetBackup
- NetBackup 中的安全管理
- NetBackup 中的安全证书概述
- 关于 NetBackup 中的安全通信
- 关于安全管理实用程序
- 关于审核事件
- 关于主机管理
- 关于全局安全设置
- 关于基于主机名的证书
- 关于基于主机 ID 的证书
- 关于基于主机 ID 的证书的令牌管理
- 关于基于主机 ID 的证书吊销列表
- 关于吊销基于主机 ID 的证书
- 删除基于主机 ID 的证书
- 在群集 NetBackup 设置中执行安全证书部署
- 关于位于隔离区中的 NetBackup 客户端通过 HTTP 隧道与主服务器进行通信
- 静态数据加密安全
- 静态数据密钥管理
- 重新生成 密钥和证书
- NetBackup Web 服务帐户
实现了所有安全的单数据中心
这个实现了所有安全的单数据中心示例将前面的所有示例组合在一起。这是一个非常复杂的环境，在该环境中，各个客户端具有不同的要求。某些客户端可能要求使用脱离主机加密（如，供电不足的主机，或数据库备份）。而另一些客户端可能会由于主机上数据的敏感性，要求使用在机加密。将 NBAC 添加到安全混合体中，可以在 NetBackup 内将管理员、操作员和用户分离开来。
实现了所有安全的单数据中心包括以下要点：
请参见前面有关单数据中心的各节，了解各个选件的要点
提供最灵活但最复杂的环境
按照类似模型认真设计便可利用每个选件的优点
图：实现了所有安全的单数据中心 显示实现了所有安全的单数据中心示例。
下表介绍实现了所有安全的单数据中心所使用的 NetBackup 部件。
表：实现了所有安全的单数据中心所使用的 NetBackup 部件
|
部件 |
描述 |
|---|---|
|
主服务器 |
与介质服务器、根代理、身份验证代理、授权引擎、客户端 1、2、3 以及 DMZ 中的客户端 5（Web 服务器）通信。主服务器还与身份验证代理进行通信并接收来自该代理的凭据。 当 CLI 或 GUI 访问主服务器上的后台驻留程序时，会交换凭据以标识用户。然后会与授权引擎联系以确定是否可以访问后台驻留程序功能。 |
|
介质服务器 |
与主服务器、客户端 1、2、3 以及 DMZ 中的客户端 5（Web 服务器）通信。介质服务器还与授权引擎通信，并从身份验证代理接收凭据。介质服务器为客户端 1、2、3 和 5 启用未加密数据的磁带写入。 当 CLI 或 GUI 访问介质服务器上的后台驻留程序时，会交换凭据以标识用户。然后会与授权引擎联系以确定是否可以访问后台驻留程序功能。 |
|
GUI |
指定此远程管理控制台 GUI 从身份验证代理接收凭据。然后 GUI 使用此凭据获得对介质服务器和主服务器上的功能的访问。 |
|
根代理 |
对身份验证代理进行身份验证，而不是对客户端进行身份验证。在该图中，根代理和身份验证代理显示为同一组件。 |
|
身份验证代理 |
通过确认主服务器、介质服务器、GUI、客户端和用户各自的凭据对其进行身份验证。 |
|
授权引擎 |
与主服务器和介质服务器通信，以确定通过身份验证的用户的权限。它还存储用户组和权限。仅需要一个授权引擎。 注意: 授权引擎作为后台驻留程序进程驻留在主服务器上。在此图中，它显示为一个单独的图像（仅用于示例）。 |
|
磁带 |
指定第一个磁带包含为客户端 1、2、3 写入的加密 MSEO 备份数据，以及客户端 6 的在客户端加密的数据。第二个磁带包含为客户端 4 和 5 写入的未加密的备份数据。 |
|
运输 |
指定通过运输卡车将加密的磁带转移到场外的安全保管库设施中。即使在运输过程中丢失了磁带，数据中心管理员也已提前降低了风险。通过使用加密，降低了数据泄露风险。 |
|
场外保管库 |
指定场外保管库是一个安全的存储设施，与数据中心位于不同的位置，可提高灾难恢复保护能力。 |
|
客户端 |
指定客户端 1、2、3 和 4 是标准 NetBackup 类型。客户端 5 属于 Web 服务器类型。客户端 6 使用客户端加密。从身份验证代理收到凭据后，将基于 NetBackup Product Authentication Service 域验证客户端 1、2、3、5 和 6 的身份。标准服务器和 Web 服务器类型均可由主服务器进行管理，并通过介质服务器将其未加密的数据备份到磁带。客户端 6 有自己的加密数据，且其加密数据通过介质服务器备份到磁带。客户端 1、2 和 3 位于数据中心内。客户端 5 和 6 位于 DMZ 中。它们使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 通信。客户端 5 和 6 使用仅限于 HTTP 的端口通过外部防火墙与 Internet 通信。 |
|
内部防火墙 |
指定内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5。仅为进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。不允许在外部防火墙中打开的 HTTP 端口通过内部防火墙。 |
|
隔离区 (DMZ) |
为 Web 服务器客户端 5 和加密客户端 6 提供了一个“安全的”操作区域。这些客户端位于内部防火墙与外部防火墙之间。DMZ 中的 Web 服务器客户端 5 和加密客户端 6 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 5 和加密客户端 6 可以使用 HTTP 端口通过外部防火墙与 Internet 通信。DMZ 中的加密客户端 6 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。 |
|
外部防火墙 |
指定外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口为客户端 5 打开，用于通过内部防火墙进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。 |
|
Internet |
指定通过铜线、光纤电缆和无线连接链接到一起的互连计算机网络集合。客户端 5 可使用 HTTP 端口通过外部防火墙在 Internet 上进行通信。 |