Veritas NetBackup™ セキュリティおよび暗号化ガイド

ロンドンのデータセンター

マスターサーバー、メディアサーバー 1、クライアント 4、5、6 が含まれます。また、クライアント 6、7 の暗号化されたデータテープと、クライアント 4、5 の暗号化されていないデータテープが含まれます。ロンドンのデータセンターは、専用の WAN 接続を介して東京のデータセンターに接続されます。

東京のデータセンター

メディアサーバー 2、クライアント 7、10、11、12 が含まれます。また、クライアント 7、12 の暗号化されたデータテープと、クライアント 10、11 の暗号化されていないデータテープが含まれます。東京のデータセンターは、専用の WAN 接続を介してロンドンのデータセンターに接続されます。

WAN (ワイドエリアネットワーク)

東京のデータセンターにロンドンのデータセンターを接続する専用の WAN リンクです。WAN を使用することで、ロンドンのマスターサーバーを、東京のメディアサーバー 2 およびクライアント 7、10、11、12 に接続できます。また、WAN を使用して、ロンドンのメディアサーバー 1 を、東京のクライアント 7 に接続することもできます。

マスターサーバー

マスターサーバーはロンドンのデータセンターにあり、メディアサーバー 1 およびクライアント 4、5、6 と通信します。また、このマスターサーバーは、WAN を使用して東京のメディアサーバー 2 およびクライアント 7、10、11、12 と通信します。

メディアサーバー

複数のデータセンターは 2 つのメディアサーバーを使います。メディアサーバー 1 はロンドンのデータセンターにあり、メディアサーバー 2 は東京のデータセンターにあります。ロンドンのメディアサーバー 1 は、マスターサーバーおよびクライアント 4、5、6 と通信します。また、東京のクライアント 7 とも通信します。メディアサーバー 1 は、クライアント 4、5 の暗号化されていないデータをテープに書き込みます。また、クライアント 6、7 の暗号化されたデータもテープに書き込みます。クライアント 7 は東京に存在しますが、このテープバックアップはロンドンに存在することに注意してください。クライアント 6、7 の暗号化されたテープは、ロンドンのオフサイト Vault に発送されます。

東京のメディアサーバー 2 は、WAN を介してロンドンのマスターサーバーと通信し、また、東京のクライアント 7、10、11、12 と通信します。メディアサーバー 2 は、クライアント 10、11 の暗号化されていないデータをテープに書き込みます。また、クライアント 7、12 の暗号化されたデータもテープに書き込みます。クライアント 7 は東京に存在し、ロンドンでバックアップされますが、東京でもバックアップされることに注意してください。クライアント 7、12 の暗号化されたテープは、東京のオフサイト Vault に発送されます。

クライアント側の暗号化

クライアント側の暗号化 (図には示されていない) によって、テープだけでなく回線におけるデータの機密性も確保されます。

テープ

暗号化されていないデータテープおよび暗号化されたデータテープの両方が、ロンドンと東京のデータセンターで作成されます。暗号化されたテープには、クライアント側で暗号化されたバックアップデータが格納されます。ロンドンでは、クライアント 4、5 用に、暗号化されていないテープが書き込まれ、ロンドンのデータセンターのオンサイトに格納されます。クライアント 6、7 用には、暗号化されたテープが書き込まれます。暗号化されたテープは、ディザスタリカバリ保護用にロンドンのオフサイト Vault に発送されます。

東京では、クライアント 10、11 用に、暗号化されていないテープが書き込まれ、東京のデータセンターのオンサイトに格納されます。クライアント 7、12 用には、暗号化されたテープが書き込まれます。クライアント 7 は東京に存在し、東京でバックアップされますが、ロンドンでもバックアップされることに注意してください。暗号化されたテープは、ディザスタリカバリ保護用に東京のオフサイト Vault に発送されます。

トランスポート

複数のデータセンターは 2 つのトランスポートを使います。1 つはロンドン、もう 1 つは東京にあります。ロンドンのトランスポートトラックにより、クライアント 6、7 の暗号化されたテープは、セキュリティ保護されたロンドンのオフサイト Vault 施設に運ばれます。東京のトランスポートトラックにより、クライアント 7、12 の暗号化されたテープは、セキュリティ保護された東京のオフサイト Vault 施設に運ばれます。クライアント 7 のバックアップコピーは、ロンドンと東京の両方の Vault に格納されることに注意してください。

オフサイト Vault

複数のデータセンターは 2 つのオフサイト Vault を使います。1 つはロンドン、もう 1 つは東京にあります。どちらの Vault も、暗号化されたテープを格納する安全な施設であり、それぞれのデータセンターとは別の場所に存在します。

クライアント

クライアントは、ロンドンと東京の両方のデータセンターに配置されています。ロンドンの場合、クライアント 4 は標準的な NetBackup 形式です。クライアント 5 は、DMZ に配置されている Web サーバー形式です。クライアント 6 はクライアント側で暗号化を行うクライアントで、同じく DMZ に配置されています。いずれの形式のクライアントもマスターサーバーによって管理され、クライアントのデータはメディアサーバー 1 によってテープにバックアップされます。クライアント 5 と 6 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。クライアント 6 は、HTTP ポートのみを使用して外部ファイアウォールを通過し、インターネットからの接続を受信します。

東京の場合、クライアント 7 はクライアント側で暗号化を行うクライアントですが、DMZ の外に配置されています。クライアント 10 は、標準的な NetBackup 形式です。クライアント 11 は、DMZ に配置されている Web サーバー形式です。クライアント 12 はクライアント側で暗号化を行うクライアントで、同じく DMZ に配置されています。すべての形式のクライアントは、ロンドンのマスターサーバーによって管理できます。クライアント 7 のデータは、メディアサーバー 1 および 2 によってテープにバックアップされます。クライアント 10、11、12 のデータは、メディアサーバー 2 によってテープにバックアップされます。クライアント 11、12 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。クライアント 12 は、HTTP ポートのみを使用して外部ファイアウォールを通過し、インターネットからの接続を受信します。

内部ファイアウォール

複数のデータセンターは 2 つの内部ファイアウォールを使います。1 つはロンドン、もう 1 つは東京にあります。ロンドンの場合、NetBackup は、内部ファイアウォールを通過して DMZ 内の Web サーバークライアント 5 とクライアント側で暗号化を行うクライアント 6 にアクセスできます。東京の場合、NetBackup は、内部ファイアウォールを通過して DMZ 内の Web サーバークライアント 11 とクライアント側で暗号化を行うクライアント 12 にアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、DMZ とのデータ通信を行うことができます。外部ファイアウォールで開かれている HTTP ポートは、内部ファイアウォールを通過できません。

非武装地帯 (DMZ)

複数のデータセンターは 2 つの DMZ を使います。1 つはロンドン、もう 1 つは東京にあります。ロンドンの DMZ は、Web サーバークライアント 5 およびクライアント側で暗号化を行うクライアント 6 に対して「安全な」操作領域を提供します。このクライアントは、内部ファイアウォールと外部ファイアウォールとの間に存在します。DMZ 内の Web サーバークライアント 5 およびクライアント側で暗号化を行うクライアント 6 は、NetBackup と通信できます。これらのクライアントは両方とも、指定された NetBackup ポートを使って内部ファイアウォールを通過し、通信を行います。また、Web サーバークライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。

東京の DMZ は、Web サーバークライアント 11 およびクライアント側で暗号化を行うクライアント 12 に対して「安全な」操作領域を提供します。クライアント 12 は、内部ファイアウォールと外部ファイアウォールとの間に存在します。DMZ 内の Web サーバークライアント 11 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 11 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。

外部ファイアウォール

複数のデータセンターは 2 つの外部ファイアウォールを使うことができます。1 つはロンドン、もう 1 つは東京にあります。ロンドンでは、外部ユーザーは、HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。NetBackup ポートは Web サーバークライアント 5 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。Web サーバークライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。クライアント側で暗号化を行うクライアント 6 には、インターネットからはアクセスできません。

東京では、外部ユーザーは、HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 11 にアクセスできます。NetBackup ポートは Web サーバークライアント 11 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。Web サーバークライアント 11 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。クライアント側で暗号化を行うクライアント 12 には、インターネットからはアクセスできません。

インターネット

インターネットは 1 つしかありませんが、この複数のデータセンターの例では 2 つのインターネット接続があります。1 つはロンドン、もう 1 つは東京にあります。インターネットは、相互に接続されたコンピュータネットワークの集まりで、銅線、ファイバー光ケーブル、および無線接続によってリンクされています。ロンドンでは、Web サーバークライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。東京では、Web サーバークライアント 11 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。