NetBackup™ 安全和加密指南

根代理

NetBackup 主服务器是位于数据中心安装中的根代理。对使用其他根代理无规定。建议多个根代理之间互相信任。

根代理对身份验证代理进行身份验证。根代理不会对客户端进行身份验证。

身份验证代理

通过确认主服务器、介质服务器、图形用户界面和客户端各自的凭据对其进行身份验证。在命令提示符下操作时，身份验证代理还会对用户进行身份验证。在一个数据中心安装中可以有多个身份验证代理。身份验证代理可以与根代理合二为一。

授权引擎

与主服务器和介质服务器通信，以确定通过身份验证的用户的权限。这些权限决定了针对给定服务器的可用功能。授权引擎还存储用户组和权限。一个数据中心安装中仅需要一个授权引擎。在多数据中心环境中，授权引擎还通过 WAN 进行通信，从而为其他介质服务器授权。

图形用户界面

指定从身份验证代理接收凭据的远程管理控制台。然后，图形用户界面可以使用这些凭据来访问客户端、介质服务器和主服务器上的功能。

主服务器

与根代理和身份验证代理、图形用户界面、授权引擎、介质服务器以及客户端通信。

NetBackup 管理员

指定已被授予管理员权限并可从数据中心内访问和管理 NetBackup 功能的用户。

介质服务器

与主服务器、根代理和身份验证代理、授权引擎以及客户端 1 至 6 通信。介质服务器针对客户端 5 将未加密数据写入磁带，针对客户端 6 将加密数据写入磁带。

客户端

指定客户端 1 到 4 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。客户端 6 也是位于 DMZ 中的客户端加密类型。所有客户端类型都是由主服务器管理的，并通过介质服务器将其数据备份到磁带中。客户端 5 和 6 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 通信。此外，客户端 5 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。

磁带

未加密数据磁带和加密数据磁带都在数据中心产生。为客户端 1 至 5 写入的是未加密磁带数据，并在数据中心场内存储。为客户端 6 写入的是加密磁带，并被运输到到场外的保管库以提供灾难恢复保护机制。

加密

有关加密的更多信息：

请参见要考虑的加密安全问题。

线路上数据的安全

包括主服务器、介质服务器、客户端之间的通信，以及使用端口通过防火墙和 WAN 进行的通信。

有关端口的更多信息，请参见 NetBackup 网络端口参考指南：

防火墙安全

指定 NetBackup 防火墙支持可以帮助提高安全性。

隔离区 (DMZ)

DMZ 为在内部防火墙和外部防火墙之间的 Web 服务器客户端 5 和加密客户端 6 提供了一个“安全的”操作区域。DMZ 中的 Web 服务器客户端 5 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。

图：防火墙和 DMZ 示例 显示了一个带有 DMZ 的内部防火墙和外部防火墙示例。