Veritas NetBackup™ セキュリティおよび暗号化ガイド
- NetBackup セキュリティの強化
- NetBackup セキュリティおよび暗号化について
- NetBackup セキュリティの実装レベル
- 世界レベルのセキュリティ
- 企業レベルのセキュリティ
- データセンターレベルのセキュリティの概要
- NetBackup アクセス制御 (NBAC)
- 世界レベル、企業レベルおよびデータセンターレベルの統合
- NetBackup セキュリティの実装形式
- オペレーティングシステムのセキュリティ
- NetBackup セキュリティの脆弱性
- NetBackup の標準セキュリティ
- Media Server Encryption Option (MSEO) セキュリティ
- クライアント側の暗号化セキュリティ
- マスター、メディアサーバーおよび GUI のセキュリティ上の NBAC
- すべてに NBAC を使用したセキュリティ
- すべての NetBackup セキュリティ
- セキュリティの配置モデル
- ワークグループ
- 単一のデータセンター
- 複数のデータセンター
- NetBackup を使用するワークグループ
- 標準の NetBackup を使用する単一のデータセンター
- MSEO (Media Server Encryption Option) を使用する単一のデータセンター
- クライアント側の暗号化を使用する単一のデータセンター
- マスターサーバーとメディアサーバーで NBAC を使用する単一のデータセンター
- すべてに NBAC を使用する単一のデータセンター
- すべてのセキュリティが実装された単一のデータセンター
- 標準的な NetBackup を使用する複数のデータセンター
- MSEO (Media Server Encryption Option) を使用する複数のデータセンター
- クライアント側の暗号化を使用する複数のデータセンター
- マスターサーバーとメディアサーバーで NBAC を使用する複数のデータセンター
- すべてに NBAC を使用する複数のデータセンター
- すべての NetBackup セキュリティを使用する複数のデータセンター
- ポートセキュリティ
- NetBackup TCP/IP ポートについて
- NetBackup のデーモン、ポート、通信について
- ポートの構成について
- NDMP バックアップのポート要件
- サードパーティの製品とともに NetBackup を使う場合の既知のファイアウォールの問題
- NetBackup 操作の監査
- アクセス制御のセキュリティ
- NetBackup アクセス制御セキュリティ (NBAC)
- NetBackup アクセス制御 (NBAC) の使用について
- NetBackup のアクセス管理
- NBAC (NetBackup アクセス制御) 構成について
- NetBackup アクセス制御 (NBAC) の構成
- NBAC の構成の概要
- スタンドアロンのマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
- クラスタでの高可用性の NetBackup マスターサーバーのインストール
- クラスタ化されたマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
- メディアサーバーでの NetBackup アクセス制御 (NBAC) の構成
- クライアントでのアクセス制御のインストールおよび構成
- NetBackup ホットカタログバックアップへの認証データベースおよび認可データベースの追加について
- NBAC の構成コマンドの概略
- NetBackup 管理インフラストラクチャと setuptrust コマンドの統合
- setuptrust コマンドの使用
- マスターおよびメディアサーバーの［アクセス制御 (Access Control)］ホストプロパティの構成
- クライアントの［アクセス制御 (Access Control)］ホストプロパティダイアログボックス
- アクセス管理のトラブルシューティング
- アクセス管理ユーティリティの使用
- NetBackup へアクセス可能なユーザーの決定について
- NetBackup ユーザーグループの特定のユーザー権限の表示
- 権限の付与
- 認可オブジェクト
- メディアの認可オブジェクトの権限
- ポリシーの認可オブジェクトの権限
- ドライブの認可オブジェクトの権限
- レポートの認可オブジェクトの権限
- NBU_Catalog の認可オブジェクトの権限
- ロボットの認可オブジェクトの権限
- ストレージユニットの認可オブジェクトの権限
- ディスクプールの認可オブジェクトの権限
- バックアップおよびリストアの認可オブジェクトの権限
- ジョブの認可オブジェクトの権限
- サービスの認可オブジェクトの権限
- ホストプロパティの認可オブジェクトの権限
- ライセンスの認可オブジェクトの権限
- ボリュームグループの認可オブジェクトの権限
- ボリュームプールの認可オブジェクトの権限
- デバイスホストの認可オブジェクトの権限
- セキュリティの認可オブジェクトの権限
- ファットサーバーの認可オブジェクトの権限
- ファットクライアントの認可オブジェクトの権限
- Vault の認可オブジェクトの権限
- サーバーグループの認可オブジェクトの権限
- キー管理システム (kms) グループの認可オブジェクトの権限
- NetBackup アクセス制御 (NBAC) のアップグレード
- NetBackup の古いバージョンがリモートコンピュータにインストールされているルートブローカーを使っている場合の NetBackup のアップグレード
- NetBackup のセキュリティ管理
- NetBackup のセキュリティ証明書の概要
- NetBackup での安全な通信について
- セキュリティ管理ユーティリティについて
- 監査イベントについて
- ホスト管理について
- ［ホスト (Hosts)］タブ
- ホスト ID からホスト名へのマッピングの追加
- ［ホストマッピングを追加または削除 (Add or Remove Host Mappings)］ダイアログボックス
- ホスト ID からホスト名へのマッピングの削除
- ［承認待ちのマッピング (Mappings for Approval)］タブ
- 自動検出されたマッピングの表示
- ［マッピングの詳細 (Mapping Details)］ダイアログボックス
- ホスト ID からホスト名へのマッピングの承認
- ホスト ID からホスト名へのマッピングの拒否
- 共有マッピングとクラスタマッピングの追加
- ［共有マッピングとクラスタマッピングの追加 (Add Shared or Cluster Mappings)］ダイアログボックス
- NetBackup ホスト属性のリセット
- ホストのコメントの追加または削除
- グローバルセキュリティ設定について
- ホスト名ベースの証明書について
- ホスト ID ベースの証明書について
- nbcertcmd コマンドオプションの Web ログインの要件
- 証明書管理ユーティリティを使ったホスト ID ベースの証明書の発行と配備
- 証明書の配備のセキュリティレベルについて
- ホスト ID ベースの証明書の自動配備
- ホスト ID ベースの証明書の配備
- 証明書の有効期間に対するクロックスキューの意味
- マスターサーバー (CA) との信頼の設定
- 証明書の配備の強制実行または上書き
- マスター以外のホストで NetBackup を再インストールするときのホスト ID ベースの証明書の保持
- マスターサーバーと接続されていないクライアントでの証明書の配備
- ホスト ID ベースの証明書の有効期限と更新について
- メディアサーバーおよびクライアントからの重要な証明書とキーの削除
- 仮想マシンのクローンを作成する前にホストからホスト ID ベースの証明書情報を消去する
- ホスト ID ベースの証明書の再発行について
- ホスト ID ベースの証明書のトークン管理について
- ホスト ID ベースの証明書失効リストについて
- ホスト ID ベースの証明書の無効化について
- ホスト ID ベースの証明書の削除
- クラスタ化された NetBackup セットアップでのセキュリティ証明書の配備
- クラスタ化された NetBackup ホストでのホスト ID ベースの証明書の配備について
- クラスタノードでのホスト ID ベースの証明書の配備
- クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を無効化する
- 再発行トークンを使用して、クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を配備する
- クラスタ化された NetBackup セットアップの再発行トークンの作成
- クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を更新する
- クラスタ化された NetBackup セットアップで証明書の詳細を表示する
- クラスタ化された NetBackup セットアップからの CA 証明書の削除
- ディザスタリカバリインストール後にクラスタマスターサーバーで証明書を生成する
- 非武装地帯にある NetBackup クライアントとマスターサーバーの間の HTTP トンネルを介した通信について
- 格納データの暗号化セキュリティ
- 格納データの暗号化に関する用語
- 格納データの暗号化に関する注意事項
- 暗号化セキュリティについて考慮する際の質問
- 暗号化オプションの比較
- NetBackup クライアントの暗号化について
- クライアントでの標準暗号化の構成
- クライアントでのレガシー暗号化の構成
- メディアサーバーの暗号化
- 格納するデータのキーマネージメントサービス
- FIPS (連邦情報処理標準)
- FIPS 対応 KMS について
- キーマネージメントサービス (Key Management Service: KMS) の概要
- KMS のインストール
- KMS の構成
- 暗号化への KMS の使用について
- KMS データベースの要素
- コマンドラインインターフェース (CLI) コマンド
- KMS のトラブルシューティング
- キーと証明書の再生成
- NetBackup Web サービスアカウント
MSEO (Media Server Encryption Option) を使用する単一のデータセンター
MSEO (Media Server Encryption Option) を使用する単一のデータセンターの例には、通常、50 を超えるホストが含まれます。外部に接続するすべてのホストは、MSEO (Media Server Encryption Option) を使用します。この例では、クライアントはすべてのホストに対して MSEO オプションを使用しています。
MSEO (Media Server Encryption Option) を使用する単一のデータセンターには、次の特徴があります。
MSEO は NetBackup における新しいオプションである
オフサイトに発送されたデータを保護する
回線からのデータの消極的な妨害は許容リスクであるため、データは暗号化されずにクライアントから送信される
単一障害点と同様、鍵の管理と暗号化は 1 か所で管理される高可用性クラスタを使用すると便利です。
同時に複数のクライアントを処理するために、堅牢なメディアサーバーが必要である
暗号化されたテープをオフサイトに送る必要があるが、CPU に負荷がかかるクライアントの暗号化処理を軽減させる場合に有効である
データを戻すには鍵が必要である。鍵を失うと、データも失われます。(暗号化の章の鍵の共有バックアップに関する情報を参照してください。)
図: MSEO を使用する単一のデータセンター に、MSEO を使用する単一のデータセンターの例を示します。
次の表に、MSEO を使用する単一のデータセンターで使われる NetBackup の構成要素を示します。
表: MSEO を使用する単一のデータセンターで使用される NetBackup の構成要素
構成要素 | 説明 |
|---|---|
マスターサーバー | メディアサーバー、MSEO クライアント 1、2、3 および DMZ 内の MSEO Web サーバークライアント 5 と通信します。 |
メディアサーバー | マスターサーバー、MSEO クライアント 1、2、3 および DMZ 内の MSEO Web サーバークライアント 5 と通信します。また、メディアサーバーは、クライアント 1、2、3、5 の暗号化されたデータのテープへの書き込みを可能にする MSEO デバイスと通信します。 |
MSEO | MSEO ハードウェア装置は、個々のクライアントでの暗号化処理による負荷を軽減させるため、クライアント 1、2、3、5 の暗号化されたデータを生成します。この暗号化されたデータは、テープに書き込まれます。MSEO 装置を使用することで、クライアント側で暗号化を行う場合と比較して、個々のクライアントの CPU パフォーマンスが向上します。 |
テープ | MSEO によって暗号化されたクライアント 1、2、3、5 のバックアップデータが格納されます。暗号化されたテープは、ディザスタリカバリ保護用にオフサイト Vault に発送されます。 メモ: データを復号化するには、そのデータの暗号化に使用した鍵が利用可能である必要があります。 |
トランスポート | トランスポートトラックにより、暗号化されたテープがセキュリティ保護されたオフサイト Vault 施設に運ばれます。輸送中にテープが失われた場合でも、データセンターの管理者は、データの漏洩リスクを軽減することができます。データの漏洩は、データの暗号化により軽減されます。 |
オフサイト Vault | ディザスタリカバリ保護を支援するデータセンターとは異なる場所にある安全な保管施設を提供します。 |
クライアント | クライアント 1、2、3 は MSEO 形式であり、クライアント 5 は Web サーバー形式 (MSEO オプションも使用) です。どちらの形式もマスターサーバーによって管理でき、暗号化されたデータがテープにバックアップされます。バックアップは、MSEO ハードウェア装置が接続されたメディアサーバーによって実行されます。クライアント 1、2、3 は、データセンター内に存在します。クライアント 5 は、DMZ 内に存在します。クライアント 5 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。クライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールを通過し、インターネットからの接続を受信します。 |
内部ファイアウォール | NetBackup は、これを使用して、DMZ 内のクライアント 5 Web サーバーにアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、DMZ とのデータ通信を行うことができます。外部ファイアウォールで開かれている HTTP ポートは、内部ファイアウォールを通過できません。 |
非武装地帯 (DMZ) | 内部ファイアウォールと外部ファイアウォールの間に存在している Web サーバークライアント 5 に「安全な」操作領域を提供します。DMZ 内の Web サーバークライアント 5 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。 |
外部ファイアウォール | 外部ユーザーは HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。NetBackup ポートは Web サーバークライアント 5 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。Web サーバークライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。 |
インターネット | 相互に接続されたコンピュータネットワークの集まりで、銅線、ファイバー光ケーブル、および無線接続によってリンクされています。Web サーバークライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。 |