NetBackup™ 安全和加密指南

安装 KMS

1. 运行 nbkms -createemptydb 命令。
2. 输入主机主密钥 (HMK) 的通行短语。您也可以按 Enter 以创建随机生成的密钥。
3. 输入 HMK 的 ID。此 ID 可以是要用于标识 HMK 的任何描述性内容。
4. 输入密钥保护密钥 (KPK) 的通行短语。
5. 输入 KPK 的 ID。此 ID 可以是要用于标识 KPK 的任何描述性内容。

   输入 ID 并按 Enter 后，KMS 服务会启动。

6. 启动 KMS 服务，如下所示：

   在 UNIX 上，运行以下命令：

   /usr/openv/netbackup/bin/nbkms

   在 Windows 上，执行以下操作：

   Start > Run > Services.msc > Start the NetBackup Key Management Service

7. 使用 grep 命令确保该服务已启动，如下所示：ps -ef | grep nbkms
8. 运行以下命令，在 NetBackup Web 服务中注册 nbkms 服务：

   nbkmscmd -discovernbkms

9. 创建密钥组。密钥组名必须与卷池名完全一致。所有密钥组名都必须具有前缀 ENCR_。

   注意:

   将密钥管理用于云存储和 PureDisk 时，密钥组名称不要求使用 ENCR_ 前缀。

   要创建（非云存储）密钥组，请使用以下命令语法。 nbkmsutil -createkg -kgname ENCR_volumepoolname

   ENCR_ 前缀是必需的。当 BPTM 收到包括 ENCR_ 前缀的卷池请求时，它会将卷池名称提供给 KMS。KMS 确定它与卷池名称完全相同后，从密钥组中选取备份的活动密钥记录。

   要创建云存储密钥组，请使用以下命令语法。

   nbkmsutil -createkg -kgname storage_server_name:volume_name

10. 使用 -createkey 选项创建密钥记录。

    nbkmsutil -createkey -kgname ENCR_volumepool -keyname keyname -activate -desc "message"

    密钥名称和消息是可选的；它们可帮助您在显示密钥时识别该密钥。

    -activate 选项跳过活动前状态，并将该密钥创建为活动状态。

11. 当脚本提示您时，请再次提供通行短语。

    在下面的示例中，密钥组称为 ENCR_pool1，密钥名称为 Q1_2008_key。说明解释了此密钥代表一月、二月和三月。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q1_2008_key -activate -desc "key for Jan, Feb, & Mar"

12. 您可以使用同一命令创建另一密钥记录；不同的密钥名称和说明可帮助您区分密钥记录：nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q2_2008_key -activate -desc "key for Apr, May, & Jun"

    注意:

    如果您使用命令 nbkmsutil -kgname name -activate 创建多条密钥记录，则只有最后一个密钥会保持活动状态。

13. 要列出所有属于某个密钥组名的密钥，请使用以下命令：

    nbkmsutil -listkeys -kgname keyname

    注意:

    如果密钥丢失，则需要密码、salt（如果适用）、密钥组名称和密钥标记来恢复该密钥。必须将所有这些信息存储在安全的位置。可以从执行 nbkmsutil -listkeys 命令的输出中找到 salt、密钥组名称和密钥标记。

    以下命令和输出使用此过程中的示例。