Search <book_title>...

Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

NetBackup アクセス制御 (NBAC)

NetBackup アクセス制御 (NBAC) 機能は、NetBackup に NetBackup Product Authentication and Authorization を組み込んで、マスターサーバー、メディアサーバー、およびクライアントのセキュリティを高めます。

NetBackup セキュリティおよび暗号化についてを参照してください。

次に、NBAC に関する重要事項を示します。

認証および認可は組み合わせて使用します。
NBAC は信頼できるソースからの認証 ID を使用して、関連のあるパーティを確実に識別します。これらの ID に基づき、NetBackup 操作に対するアクセスが決定されます。NetBackup Security Services が組み込まれていることに注意してください。
NetBackup Product Authentication and Authorization は、ルートブローカー、認証ブローカー、認可エンジンおよびグラフィカルユーザーインターフェースで構成されています。
Oracle、Oracle Archiver、DB2、Informix、Sybase、SQL Server、SAP および EV Migrator は NBAC でサポートされません。
NBAC はアプライアンスでサポートされません。
NetBackup カタログバックアップは NBAC でサポートされます。

次の表は、セキュリティで使われる NetBackup コンポーネントを記述したものです。

表: セキュリティで使われる NetBackup コンポーネント

コンポーネント	説明
ルートブローカー	データセンターのインストールでは、NetBackup マスターサーバーがルートブローカーです。別のルートブローカーを使うためのプロビジョニングは必要ありません。ルートブローカー間の信頼を許可することをお勧めします。ルートブローカーは認証ブローカーを認証します。ルートブローカーはクライアントを認証しません。
認証ブローカー	マスターサーバー、メディアサーバー、GUI およびクライアントのそれぞれにクレデンシャルを設定して認証します。認証ブローカーは、コマンドプロンプトを操作するユーザーも認証します。データセンターのインストールでは、複数の認証ブローカーを配置できます。認証ブローカーをルートブローカーと組み合わせて使用することもできます。
認可エンジン	マスターサーバーおよびメディアサーバーと通信して、認証済みユーザーの権限を決定します。これらの権限によって、指定したサーバーで利用可能な機能が決まります。また、認可エンジンには、ユーザーグループおよび権限が格納されます。データセンターのインストールには、認可エンジンが 1 つのみ必要です。認可エンジンは WAN を介して通信し、複数のデータセンター環境にある他のメディアサーバーを認可します。
グラフィカルユーザーインターフェース (GUI)	認証ブローカーからクレデンシャルを受信するリモート管理コンソールを示します。 GUI は受け取ったクレデンシャルを使用して、クライアント、メディアサーバーおよびマスターサーバーの機能へのアクセス権を取得できます。
MSEO	メディアサーバーによってテープに書き込まれるデータを暗号化 (格納データの暗号化) するソフトウェア装置である MSEO (Media Server Encryption Option) を指定します。MSEO ではクライアント側の暗号化が代行されるため、クライアントの CPU 処理負荷を軽減できます。
マスターサーバー	ルートブローカー、認証ブローカー、GUI、認可エンジン、メディアサーバーおよびクライアントと通信します。
NetBackup 管理者	データセンター内部から NetBackup 機能に対してアクセスおよび管理を行う管理者権限が付与されているユーザーを示します。
メディアサーバー	マスターサーバー、ルートブローカー、認証ブローカー、認可エンジン、MSEO および 1 から 6 までのクライアントと通信します。メディアサーバーは、クライアント 5 の暗号化されていないデータと、クライアント 6 の暗号化されたデータをテープに書き込みます。
クライアント	クライアント 1 から 4 までは、標準的な NetBackup 形式です。クライアント 5 は、DMZ に配置されている Web サーバー形式です。クライアント 6 は、クライアント側で暗号化を行う形式のクライアントで、同じく DMZ に配置されています。いずれの形式のクライアントもマスターサーバーによって管理され、クライアントのデータはメディアサーバーによってテープにバックアップされます。クライアント 5 および 6 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。また、クライアント 5 は HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットからの接続を受信します。
テープ	NetBackup のテープセキュリティは、次の機能を追加することによって強化できます。クライアント側の暗号化 MSEO (Media Server Encryption Option) 蓄積データの暗号化暗号化されていないデータおよび暗号化されているデータのテープはデータセンターで作成されます。 1 から 5 までのクライアントの場合は、暗号化されていないテープデータが書き込まれ、データセンターのオンサイトに格納されます。クライアント 6 の場合は、暗号化されたテープが書き込まれ、ディザスタリカバリ保護に使用するためオフサイト Vault に発送されます。
暗号化	NetBackup の暗号化は、次のようにセキュリティを高めることができます。データの機密性が向上するすべてのデータを効果的に暗号化することによって、物理テープの損失がそれほど重大ではなくなる最もよい危険軽減方法である暗号化についての詳細暗号化セキュリティについて考慮する際の質問を参照してください。
回線上のデータセキュリティ	マスターサーバー、メディアサーバー、クライアント間の通信およびポートを使用してファイアウォールを通過する通信と WAN を介した通信が含まれます。ポートについての詳細 NetBackup TCP/IP ポートについてを参照してください。 NetBackup では、次の手段を使用して、回線上のデータのセキュリティを強化することができます。 NetBackup アクセス制御 (NBAC) 従来の NetBackup デーモンは NBAC が有効な場合に認証を使用する CORBA デーモンは完全に暗号化されたチャネルを使用して機密性を確保し、データの整合性を提供するファイアウォール NetBackup とそのほかの製品での未使用ポートの無効化ランダムなポートの割り当ての有効化または無効化を参照してください。 PBX および VNETD の専用ポートを使用して NetBackup セキュリティを強化するファイアウォールを介してアクセスを監視および許可する中央ポートセット
ファイアウォールセキュリティ	NetBackup のファイアウォールサポートはセキュリティを高めるうえで役立ちます。ファイアウォールのセキュリティに関する重要事項を次に示します。 Veritas でファイアウォールおよび侵入検知保護を使用することをお勧めします。 NetBackup の観点では、ファイアウォール保護は一般的なネットワークセキュリティに関連します。ファイアウォール保護では、窃盗犯がピッキングを試みる可能性がある「ドアロック」を減らすことに重点が置かれます。NFS、Telnet、FTP、電子メールに使用するポートのブロックを検討すると有益な場合があります。これらのポートは必ずしも NetBackup に必要ではなく、迷惑なアクセスの侵入口となる可能性があります。マスターサーバーを最大限に保護してください。ファイアウォールには、次に示すように内部ファイアウォールおよび外部ファイアウォールがあります。内部ファイアウォール - NetBackup は、DMZ 内の Web サーバークライアント 5 と暗号化クライアント 6 にアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、内部ファイアウォールを通過して DMZ とのデータ通信を行うことができます。HTTP ポートは外部ファイアウォールで開かれており、内部ファイアウォールを通過できません。外部ファイアウォール - 外部ユーザーは HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。 NetBackup ポートは Web サーバークライアント 5 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。 NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。 Web サーバークライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。
非武装地帯 (DMZ)	非武装地帯 (DMZ) は、次のようにセキュリティを高めます。 DMZ は、特定のホストが使用できるポート数が高度に制御される、制限された領域です。 DMZ は、外部ファイアウォールと内部ファイアウォールの間に存在します。この例での共通領域は、Web サーバーです。外部ファイアウォールでは、HTTP (標準) および HTTPS (セキュリティ保護) の Web ポートを除いたすべてのポートがブロックされます。内部ファイアウォールでは、NetBackup ポートおよびデータベースポートを除いたすべてのポートがブロックされます。DMZ を使用することで、内部の NetBackup サーバーおよびデータベース情報に外部インターネットからアクセスすることができなくなります。 DMZ は、内部ファイアウォールと外部ファイアウォールの間の Web サーバークライアント 5 および暗号化クライアント 6 に対して「安全な」操作領域を提供します。 DMZ 内の Web サーバークライアント 5 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。図: ファイアウォールおよび DMZ の例に、DMZ を持つ内部ファイアウォールと外部ファイアウォールの例を示します。

次の画像は DMZ を持つ内部ファイアウォールと外部ファイアウォールの例を示します。

図: ファイアウォールおよび DMZ の例