Search <book_title>...

Veritas NetBackup™ 安全和加密指南

Last Published: 2021-07-28

Product(s): NetBackup (9.1)

管理旧式加密密钥文件

本主题介绍如何管理旧式加密密钥文件。

注意:

群集中所有节点上的密钥文件必须相同。

执行加密的备份和还原的每个 NetBackup 客户端都需要一个密钥文件。密钥文件包含客户端生成用来加密备份的 DES 密钥时使用的数据。

可以在客户端上使用 bpkeyfile 命令管理密钥文件。有关详细描述，请查看NetBackup 命令参考指南中对 bpkeyfile 命令的描述。

您需要做的第一件事是创建密钥文件（如果还没有密钥文件）。如果您从服务器针对此客户端名称运行 bpinst -LEGACY_CRYPT 命令时设置了通行短语，则密钥文件已存在。

该文件名应该与您使用 CRYPT_KEYFILE 配置选项指定的文件名相同，如下所示：

对于 Windows 客户端，默认密钥文件名如下所示
```
install_path\NetBackup\var\keyfile.dat
```
对于 UNIX 客户端，默认密钥文件名如下所示
```
/usr/openv/var/keyfile
```

NetBackup 使用密钥文件通行短语生成 DES 密钥，并使用 DES 密钥加密密钥文件。

通常，您使用的是硬编码到 NetBackup 应用程序中的密钥文件通行短语。但是，为了获得更高的安全，您可能希望使用自己的密钥文件通行短语。

请参见适用于 UNIX 客户端的附加旧式密钥文件安全。

注意:

如果不想使用自己的密钥文件通行短语，请不要输入新的密钥文件通行短语。而是使用标准密钥文件通行短语，并输入新的 NetBackup 通行短语。

您必须决定要使用什么 NetBackup 通行短语。NetBackup 通行短语用于生成放置到密钥文件中的数据。该数据用于生成对备份进行加密的 DES 密钥。

要在 UNIX 客户端上创建使用标准密钥文件通行短语加密的默认密钥文件，请输入类似以下内容的命令：

bpkeyfile /usr/openv/var/keyfile
Enter new keyfile pass phrase: (standard keyfile pass phrase)
Re-enter new keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: ***********************
Re-enter new NetBackup pass phrase: ***********************

您可能会经常输入新的 NetBackup 通行短语。有关旧通行短语的信息会保留在密钥文件中。这使得您可以还原使用旧通行短语生成的 DES 密钥加密的任何数据。您可以在 bpkeyfile 命令中使用 -change_netbackup_pass_phrase（或 -cnpp）选项输入新的 NetBackup 通行短语。

如果您需要在 Windows 客户端上输入新的 NetBackup 通行短语，请输入类似于以下示例的命令：

bpkeyfile.exe -cnpp install_path\NetBackup\var\keyfile.dat
Enter old keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: **********
Re-enter new NetBackup pass phrase: **********

小心:

无论通行短语是新的还是以前使用的，都必须确保它们是安全的且可以找回。如果客户端的密钥文件损坏或丢失，则需要有以前的所有通行短语才能重新创建该密钥文件。没有密钥文件，就无法还原使用通行短语加密的文件。

密钥文件必须只允许客户端的管理员进行访问。

对于 UNIX 客户端，必须确保以下几点：

所有者是 root 用户。
模式位为 600。
文件不在可以装入 NFS 的文件系统上。

必须考虑是否要对密钥文件进行备份。对于加密的备份，这样的备份没有多少价值，因为只有当密钥文件已经在客户端上时才能将其还原。不过，您可以设置对客户端的密钥文件执行非加密备份的 NetBackup 策略。需要对密钥文件进行紧急还原时，此策略很有用。但是，此方法也意味着可以在其他客户端上还原客户端的密钥文件。