Veritas NetBackup™ 安全和加密指南

命令行界面 (CLI)

从 CLI 中，可以从提供的命令行使用 nbkmsutil 命令来执行 KMS 功能。您可以使用 CLI 执行以下操作：创建新密钥组、创建新密钥、修改密钥组属性、修改密钥属性和获取密钥组的详细信息。还可以获取密钥的详细信息、删除密钥组、删除密钥、恢复密钥、修改主机主密钥和获取主机主密钥 ID。此外，还可以修改密钥保护密钥、获取密钥保护密钥 ID、获取密钥存储统计数据、静默 KMS 数据库、取消静默 KMS 数据库。

主机主密钥 (HMK)

主机主密钥包含的加密密钥可使用 AES 256 加密并保护 KMS_DATA 密钥文件。主机主密钥位于以下位置：

在 UNIX 上：/usr/openv/kms/key/KMS_HMKF.dat

在 Windows 上：NetBackup_install_path\kms\key\KMS_HMKF.dat

密钥

密钥是用于加密和解密数据的加密密钥。

密钥组记录 (KGR)

密钥组记录包含密钥组的详细信息。

密钥管理服务 (KMS)

密钥管理服务是基于主服务器的对称密钥管理服务，用于管理对称加密密钥。密钥管理适用于符合 T10 标准 (LTO4) 的磁带驱动器，以及 AdvancedDisk_Crypt、PureDisk 和云加密存储服务器。KMS 位于以下位置：

在 Unix 上：/usr/openv/netbackup/bin/nbkms

在 Windows 上：NetBackup_install_path\NetBackup\bin\nbkms.exe

密钥记录 (KR)

密钥记录包含加密密钥的详细信息。

KMS 数据库

KMS 数据库包含数据加密密钥。

密钥保护密钥 (KPK)

密钥保护密钥是使用 AES 256 加密和保护 KMS_DATA 密钥文件中各个记录的加密密钥。密钥保护密钥位于以下位置：

在 Unix 上：/usr/openv/kms/key/KMS_KPKF.dat

在 Windows 上：NetBackup_install_path\kms\key\KMS_KPKF.dat

目前，使用同一密钥保护密钥来加密所有记录。

密钥文件（密钥数据库）

密钥文件或密钥数据库包含数据加密密钥。密钥文件：

在 Unix 上：/usr/openv/kms/db/KMS_DATA.dat

在 Windows 上：NetBackup_install_path\kms\db\KMS_DATA.dat

密钥组

密钥组是密钥记录的逻辑名称和分组。一个密钥组在任何时候都只能具有一个处于活动状态的密钥记录。支持一百个密钥组。

密钥记录

密钥记录包含加密密钥、加密密钥标记和记录状态。还包括一些其他有用的元数据，例如逻辑名称、创建日期、修改日期和描述。

密钥记录状态

使用密码具有一定的好处。可提高密钥安全强度。如果密钥丢失，可以通过提供密码和创建原始密钥使用的对应 salt 来重新生成密钥。

静默

静默将 KMS 数据库设置为只读管理员模式。要创建 KMS 数据库文件的一致副本的备份，必须静默该数据库。

标记

标记是用于在密钥存储中标识单个密钥或密钥组的唯一标识符 (UUID)。

Salt

Salt 是随机数据，用作基于密码的密钥派生功能的附加输入。为每个密码随机生成新的 salt。Salt 用于提供安全性，以防御暴力攻击。