Search <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2025-02-18

Product(s): NetBackup (10.5.0.1)

具备 NBAC 完整功能的多数据中心

具备 NBAC 完整功能的多数据中心示例是一个中到大型主机组（超过 50 台主机），这些主机可以跨越两个或更多地理区域，并且可以通过广域网 (WAN) 进行连接。在此示例中，一个数据中心位于伦敦，另一个数据中心位于东京。两个数据中心通过专用 WAN 连接进行连接。

此环境与具备 NBAC 主服务器和介质服务器的多数据中心非常类似。主要的区别在于，参与 NetBackup 环境的所有主机都是使用凭据可靠识别的，并且非 root 管理员可以根据可配置的访问权限级别管理 NetBackup 客户端。请注意，用户标识可以存在于全局存储库中，如 Windows 中的 Active Directory 或 UNIX 中的 NIS。标识也可以存在于支持身份验证代理的那些主机上的本地存储库（UNIX 密码、本地 Windows 域）中。

具备 NBAC 完整功能的多数据中心包括以下要点：

NetBackup 通过 WAN 跨越两个或更多地理区域
与具备 NBAC 主服务器和介质服务器的多数据中心类似，但客户端上的 root 用户或管理员除外。在此配置中允许客户端和服务器的非 root 管理。
在客户端系统上，可以配置非 root/管理员用户来执行本地备份和还原（默认情况下的设置）
该环境有助于可信地标识参与 NetBackup 的所有主机
要求所有主机使用 NetBackup 版本 7.7 或更高版本。

下表介绍实现了 NBAC 完整功能的多数据中心所使用的 NetBackup 部件。

表：实现了 NBAC 完整功能的多数据中心所使用的 NetBackup 部件

部件	描述
伦敦数据中心	指定伦敦数据中心包含根代理、身份验证代理 1、GUI 1、授权引擎、主服务器、介质服务器 1 以及客户端 1 和 5。伦敦数据中心还包含客户端 1、5 和 10 的未加密数据磁带。伦敦数据中心通过专用 WAN 连接连接到东京数据中心。
东京数据中心	指定东京数据中心包含身份验证代理 2、GUI 2、介质服务器 2 以及客户端 10 和 11。东京数据中心还包含客户端 10 和 11 的未加密数据磁带。东京数据中心通过专用 WAN 连接连接到伦敦数据中心。
广域网 (WAN)	指定专用 WAN 链路将伦敦数据中心和东京数据中心连接起来。WAN 提供了根代理和身份验证代理 1 与身份验证代理 2 之间的连接。此外，WAN 还提供根代理和身份验证代理 1 与 GUI 2 以及介质服务器 2 之间的连接。WAN 将授权引擎连接到介质服务器 2。WAN 将主服务器连接到 GUI 2、介质服务器 2 以及客户端 10 和 11。最终，WAN 会将介质服务器 1 连接到客户端 10。
主服务器	指定位于伦敦数据中心的主服务器与根代理和身份验证代理 1 进行通信。它还与 GUI 1、授权引擎和介质服务器 1 进行通信。主服务器会与东京的 GUI 2、介质服务器 2 以及客户端 10 和 11 进一步进行通信。
介质服务器	指定在此多数据中心示例中有两个介质服务器。介质服务器 1 位于伦敦数据中心，介质服务器 2 位于东京数据中心。在伦敦，介质服务器 1 与主服务器、根代理、身份验证代理 1、授权引擎以及客户端 1、5 和 10 进行通信。介质服务器 1 针对客户端 1、5 和 10 将未加密数据写入磁带。在东京，介质服务器 2 通过 WAN 与伦敦的主服务器、根代理、身份验证代理 1 以及授权引擎进行通信。介质服务器 2 还与东京的 GUI 2 以及客户端 10 和 11 进行通信。介质服务器 2 针对客户端 10 和 11 将未加密数据写入磁带。
GUI	指定在此多数据中心示例中有两个 GUI。GUI 1 在伦敦，GUI 2 在东京。这些远程管理控制台 GUI 从身份验证代理接收凭据。然后，GUI 使用凭据来访问介质服务器和主服务器上的功能。在伦敦，GUI 1 从身份验证代理 1 接收凭据。GUI 1 有权访问主服务器以及介质服务器 1 和 2 上的功能。在东京，GUI 2 从身份验证代理 2 接收凭据。GUI 2 有权访问主服务器以及介质服务器 1 和 2 上的功能。
根代理	指定在一个多数据中心安装中只需要一个根代理。有时根代理会与身份验证代理合二为一。在此示例中，根代理和身份验证代理显示为同一个组件且都位于伦敦数据中心。在伦敦，根代理对同样在伦敦的验证身份验证代理 1 和东京的身份验证代理 2 进行身份验证。根代理不会对客户端进行身份验证。
身份验证代理	指定在一个数据中心安装中可以有多个身份验证代理。有时，可以将身份验证代理与根代理组合在一起。在此数据中心安装中，有两个身份验证代理。身份验证代理通过确认主服务器、介质服务器、GUI 和客户端各自的凭据对其进行身份验证。身份验证代理还会通过命令提示符对用户进行身份验证。在伦敦，身份验证代理 1 会使用主服务器、介质服务器 1、GUI 1 以及客户端 1 和 5 来执行凭据身份验证。东京和伦敦的所有 NetBackup 服务器和客户端都会针对伦敦的身份验证代理 1 进行身份验证。GUI 1 会对伦敦的身份验证代理 1 进行身份验证。GUI 2 会对东京的身份验证代理 2 进行身份验证。
授权引擎	指定在一个数据中心安装中只需要一个授权引擎。授权引擎与主服务器和介质服务器通信，以确定通过身份验证的用户的权限。这些权限决定了功能是否对用户可用。授权引擎还存储用户组和权限。授权引擎驻留在伦敦并与主服务器和介质服务器 1 进行通信。授权引擎还通过 WAN 进行通信，以授予对东京的介质服务器 2 进行访问的权限。注意: 授权引擎作为后台驻留程序进程驻留在主服务器上。在此图中，它显示为一个单独的图像（仅用于示例）。
磁带	指定未加密数据磁带在伦敦数据中心和东京数据中心产生。在伦敦，未加密磁带针对客户端 1、5 和 10 进行写入并在伦敦数据中心进行场内存储。在东京，未加密磁带针对客户端 10 和 11 进行写入并在东京数据中心进行场内存储。请注意，即使客户端 10 位于东京并在东京进行备份，它也还是会在伦敦进行备份。
客户端	指定客户端位于伦敦和东京数据中心。在伦敦，客户端 1 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 1 将其数据备份到磁带。客户端 5 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 5 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。在东京，客户端 10 是标准 NetBackup 类型。客户端 11 是位于 DMZ 中的 Web 服务器类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 2 将其数据备份到磁带。客户端 11 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 11 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。
内部防火墙	指定在此多数据中心示例中可以有两个内部防火墙。一个内部防火墙位于伦敦，另一个内部防火墙位于东京。在伦敦，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5。在东京，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 11。仅为通过内部防火墙进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。不允许在外部防火墙中打开的 HTTP 端口通过内部防火墙。
隔离区 (DMZ)	指定在此多数据中心示例中可以有两个 DMZ。一个 DMZ 位于伦敦，另一个 DMZ 位于东京。在伦敦，DMZ 为存在于内部防火墙与外部防火墙之间的 Web 服务器客户端 5 提供“安全”操作区域。DMZ 中的 Web 服务器客户端 5 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。在东京，DMZ 为存在于内部防火墙与外部防火墙之间的 Web 服务器客户端 11 提供“安全”操作区域。DMZ 中的 Web 服务器客户端 11 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 11 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。
外部防火墙	指定在此多数据中心示例中可以有两个外部防火墙。一个外部防火墙位于伦敦，另一个外部防火墙位于东京。在伦敦，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 5 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。在东京，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 11。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 11 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 11 的 HTTP 端口可以通过外部防火墙访问 Internet。
Internet	指定只能有一个 Internet，但是此多数据中心示例中有两个 Internet 连接。一个 Internet 连接位于伦敦，另一个 Internet 连接位于东京。Internet 是通过铜线、光纤电缆和无线连接链接到一起的互连计算机网络集合。在伦敦，Web 服务器客户端 5 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。在东京，Web 服务器客户端 11 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。