Search <book_title>...

Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

すべてのセキュリティが実装された単一のデータセンター

すべてのセキュリティが実装された単一のデータセンターの例は、前述のすべての例を組み合わせたものです。これは、非常に高度な環境で、様々なクライアントに対して異なる要件が存在します。クライアントの要件によっては、ホスト以外での暗号化が必要になることもあります (ホストのリソースが不足している場合やデータベースのバックアップ時など)。また、クライアントの要件によっては、ホスト上のデータの機密性を確保するためにホストでの暗号化が必要になることもあります。NBAC をセキュリティ構成に追加することで、NetBackup 内で管理者、オペレータ、およびユーザーを分離することができます。

すべてのセキュリティが実装された単一のデータセンターには、次の特徴があります。

個々のオプションの特徴については、前述の単一のデータセンターに関する項を参照
最も柔軟で複雑な環境を提供する
類似モデルに従って綿密に設計することで、各オプションの長所を使用できる

図: すべてのセキュリティが実装された単一のデータセンターに、すべてのセキュリティが実装された単一のデータセンターの例を示します。

図: すべてのセキュリティが実装された単一のデータセンター

次の表に、すべのセキュリティが実装された単一のデータセンターで使われる NetBackup の構成要素を示します。

表: すべてのセキュリティが実装された単一のデータセンターにおける NetBackup の構成要素

構成要素	説明
マスターサーバー	メディアサーバー、ルートブローカー、認証ブローカー、認可エンジン、クライアント 1、2、3 および DMZ 内のクライアント 5 (Web サーバー) と通信します。また、認可エンジンと通信して、認証ブローカーからクレデンシャルを受信します。 CLI または GUI がマスターサーバー上のデーモンにアクセスする場合は、ユーザーを識別するためにクレデンシャルが交換されます。デーモン機能へのアクセシビリティを判断するために認可エンジンへのアクセスが行われます。
メディアサーバー	マスターサーバー、クライアント 1、2、3 および DMZ 内のクライアント 5 (Web サーバー) と通信します。また、認可エンジンと通信して、認証ブローカーからクレデンシャルを受信します。メディアサーバーによって、クライアント 1、2、3、5 の暗号化されていないデータのテープへの書き込みが可能になります。 CLI または GUI がメディアサーバー上のデーモンにアクセスする場合は、ユーザーを識別するためにクレデンシャルが交換されます。デーモン機能へのアクセシビリティを判断するために認可エンジンへのアクセスが行われます。
GUI	このリモート管理コンソール GUI は、認証ブローカーからクレデンシャルを受信します。GUI は受け取ったクレデンシャルを使用して、メディアサーバーおよびマスターサーバーの機能へのアクセス権を取得します。
ルートブローカー	認証ブローカーを認証しますが、クライアントを認証しません。図では、ルートブローカーおよび認証ブローカーは同じコンポーネントとして示されています。
認証ブローカー	マスターサーバー、メディアサーバー、GUI、クライアントおよびユーザーに対してそれぞれクレデンシャルを設定し、認証します。
認可エンジン	マスターサーバーおよびメディアサーバーと通信して、認証済みユーザーの権限を決定します。また、認可エンジンには、ユーザーグループおよび権限が格納されます。必要となる認可エンジンは 1 つだけです。メモ: 認可エンジンは、デーモンプロセスとしてマスターサーバーに存在します。この図では、例に示すために個別のイメージとして示しています。
テープ	1 つ目のテープには、MSEO によって暗号化されて書き込まれたクライアント 1、2、3 のバックアップデータと、クライアント側で暗号化されたクライアント 6 のデータが格納されます。2 つ目のテープには、クライアント 4、5 の暗号化されていないバックアップデータが格納されます。
トランスポート	トランスポートトラックにより、暗号化されたテープがセキュリティ保護されたオフサイト Vault 施設に運ばれます。輸送中にテープが失われた場合でも、データセンターの管理者は、リスクを軽減できます。データ漏洩のリスクは、暗号化により軽減されます。
オフサイト Vault	オフサイト Vault は、ディザスタリカバリ保護を支援するデータセンターとは別の場所にある安全な保管施設です。
クライアント	クライアント 1、2、3、4 は、標準的な NetBackup 形式です。クライアント 5 は、Web サーバー形式です。クライアント 6 では、クライアント側の暗号化が使用されます。認証ブローカーからクレデンシャルを受信すると、クライアント 1、2、3、5、6 は NetBackup Product Authentication Service ドメインに認証されます。標準サーバー形式と Web サーバー形式はどちらもマスターサーバーによって管理され、暗号化されていないデータがメディアサーバーを介してテープにバックアップされます。クライアント 6 には、メディアサーバーを介してテープにバックアップされる暗号化されたデータが存在します。クライアント 1、2、3 は、データセンター内に存在します。クライアント 5、6 は、DMZ 内に存在します。これらのクライアントは、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。また、クライアント 5、6 は、HTTP ポートのみを使用して外部ファイアウォールを通過し、インターネットと通信します。
内部ファイアウォール	NetBackup は、内部ファイアウォールを通過して DMZ 内の Web サーバークライアント 5 にアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、DMZ とのデータ通信を行うことができます。外部ファイアウォールで開かれている HTTP ポートは、内部ファイアウォールを通過できません。
非武装地帯 (DMZ)	Web サーバークライアント 5 および暗号化クライアント 6 に対して「安全な」操作領域を提供します。これらのクライアントは、内部ファイアウォールと外部ファイアウォールの間に存在します。DMZ 内の Web サーバークライアント 5 と暗号化クライアント 6 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 5 と暗号化クライアント 6 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットに接続することができます。DMZ 内の暗号化クライアント 6 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。
外部ファイアウォール	外部ユーザーは、HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。NetBackup ポートはクライアント 5 に対して開かれており、内部ファイアウォールを通過して通信が行われます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。クライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。
インターネット	相互に接続されたコンピュータネットワークの集まりで、銅線、ファイバー光ケーブル、および無線接続によってリンクされています。クライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。