Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published:
Product(s): NetBackup (8.1.1)
  1. NetBackup セキュリティの強化
    1.  
      NetBackup セキュリティおよび暗号化について
    2.  
      NetBackup セキュリティの実装レベル
    3.  
      世界レベルのセキュリティ
    4.  
      企業レベルのセキュリティ
    5.  
      データセンターレベルのセキュリティの概要
    6.  
      NetBackup アクセス制御 (NBAC)
    7.  
      世界レベル、企業レベルおよびデータセンターレベルの統合
    8.  
      NetBackup セキュリティの実装形式
    9.  
      オペレーティングシステムのセキュリティ
    10.  
      NetBackup セキュリティの脆弱性
    11.  
      NetBackup の標準セキュリティ
    12.  
      Media Server Encryption Option (MSEO) セキュリティ
    13.  
      クライアント側の暗号化セキュリティ
    14.  
      マスター、メディアサーバーおよび GUI のセキュリティ上の NBAC
    15.  
      すべてに NBAC を使用したセキュリティ
    16.  
      すべての NetBackup セキュリティ
  2. セキュリティの配置モデル
    1.  
      ワークグループ
    2.  
      単一のデータセンター
    3.  
      複数のデータセンター
    4.  
      NetBackup を使用するワークグループ
    5.  
      標準の NetBackup を使用する単一のデータセンター
    6.  
      MSEO (Media Server Encryption Option) を使用する単一のデータセンター
    7.  
      クライアント側の暗号化を使用する単一のデータセンター
    8.  
      マスターサーバーとメディアサーバーで NBAC を使用する単一のデータセンター
    9.  
      すべてに NBAC を使用する単一のデータセンター
    10.  
      すべてのセキュリティが実装された単一のデータセンター
    11.  
      標準的な NetBackup を使用する複数のデータセンター
    12.  
      MSEO (Media Server Encryption Option) を使用する複数のデータセンター
    13.  
      クライアント側の暗号化を使用する複数のデータセンター
    14.  
      マスターサーバーとメディアサーバーで NBAC を使用する複数のデータセンター
    15.  
      すべてに NBAC を使用する複数のデータセンター
    16.  
      すべての NetBackup セキュリティを使用する複数のデータセンター
  3. ポートセキュリティ
    1.  
      NetBackup TCP/IP ポートについて
    2. NetBackup のデーモン、ポート、通信について
      1.  
        NetBackup の標準ポート
      2.  
        NetBackup マスターサーバーの外部接続ポート
      3.  
        NetBackup メディアサーバーの外部接続ポート
      4.  
        NetBackup 企業メディア管理 (EMM)サーバーの送信ポート
      5.  
        クライアントの外部接続ポート
      6.  
        Java サーバーの発信ポート
      7.  
        Java コンソールの発信ポート
      8.  
        MSDP ポートの使用について
      9.  
        Cloud ポートの使用について
      10. NetBackup と相互運用する製品のためのポートの追加情報
        1.  
          OpsCenter の通信ポートとファイアウォールの注意事項について
        2.  
          バックアップ製品との通信に必要なポート
        3.  
          OpsCenter ユーザーインターフェースを起動する Web ブラウザ
        4.  
          OpsCenter ユーザーインターフェースと OpsCenter サーバーソフトウェア間の通信について
        5.  
          OpsCenter サーバーから NetBackup マスターサーバー (NBSL) への通信について
        6.  
          SNMP トラップについて
        7.  
          OpsCenter と Sybase データベース間の通信について
        8.  
          OpsCenter での電子メール通信について
    3. ポートの構成について
      1.  
        ランダムなポートの割り当ての有効化または無効化
      2.  
        構成ファイルのポート情報の編集
      3.  
        クライアント接続オプションの更新
      4.  
        vm.conf ファイルの Media Manager ポート設定の更新
    4.  
      NDMP バックアップのポート要件
    5.  
      サードパーティの製品とともに NetBackup を使う場合の既知のファイアウォールの問題
  4. NetBackup 操作の監査
    1.  
      NetBackup の監査について
    2.  
      現在の監査設定の表示
    3.  
      NetBackup マスターサーバーでの監査の構成
    4.  
      監査レポートのユーザーの ID
    5.  
      拡張監査について
    6.  
      拡張監査の有効化
    7. 拡張監査の設定
      1.  
        拡張監査でのメディアサーバーへの接続
      2.  
        NetBackup ドメイン間でのサーバー変更
      3.  
        サーバーの変更を NBAC または拡張監査と一緒に使った場合の設定要件
    8.  
      拡張監査の無効化
    9.  
      ホストプロパティの変更の監査
    10.  
      監査記録の保持とバックアップ
    11.  
      監査レポートの表示
    12.  
      -reason または -r option コマンドラインの使用
    13.  
      nbaudit ログの動作
    14.  
      監査エラーの監査アラート通知
  5. アクセス制御のセキュリティ
    1.  
      NetBackup のアクセス制御について
    2.  
      ユーザー管理
    3.  
      ユーザー認証
    4.  
      Java インターフェース認証でのアクセス制御と拡張監査の影響
  6. NetBackup アクセス制御セキュリティ (NBAC)
    1.  
      NetBackup アクセス制御 (NBAC) の使用について
    2.  
      NetBackup のアクセス管理
    3.  
      NBAC (NetBackup アクセス制御) 構成について
    4. NetBackup アクセス制御 (NBAC) の構成
      1.  
        NBAC の構成の概要
      2.  
        スタンドアロンのマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
      3.  
        クラスタでの高可用性の NetBackup マスターサーバーのインストール
      4.  
        クラスタ化されたマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
      5.  
        メディアサーバーでの NetBackup アクセス制御 (NBAC) の構成
      6.  
        クライアントでのアクセス制御のインストールおよび構成
      7.  
        NetBackup ホットカタログバックアップへの認証データベースおよび認可データベースの追加について
      8.  
        NBAC の構成コマンドの概略
      9.  
        NetBackup 管理インフラストラクチャと setuptrust コマンドの統合
      10.  
        setuptrust コマンドの使用
    5. マスターおよびメディアサーバーの［アクセス制御 (Access Control)］ホストプロパティの構成
      1.  
        ［認証ドメイン (Authentication Domain)］タブ
      2.  
        ［認可サービス (Authorization Service)］タブ
      3.  
        ［ネットワーク属性 (Network Attributes)］タブ
    6. クライアントの［アクセス制御 (Access Control)］ホストプロパティダイアログボックス
      1.  
        クライアントの［認証ドメイン (Authentication Domain)］タブ
      2.  
        クライアントの［ネットワーク属性 (Network Attributes)］タブ
    7. アクセス管理のトラブルシューティング
      1.  
        NBAC の問題のトラブルシューティング
      2.  
        NetBackup Authentication and Authorization の構成とトラブルシューティング
      3. Windows での検証項目
        1.  
          Windows マスターサーバーでの検証項目
        2.  
          Windows メディアサーバーでの検証項目
        3.  
          Windows クライアントでの検証項目
      4. UNIX での検証項目
        1.  
          UNIX マスターサーバーの検証
        2.  
          UNIX メディアサーバーの検証
        3.  
          UNIX クライアントの検証
      5. UNIX マスターサーバーが存在する複合環境での検証項目
        1.  
          複合環境の UNIX マスターサーバーのマスターサーバーでの検証項目
        2.  
          複合環境の UNIX マスターサーバーのメディアサーバーでの検証項目
        3.  
          複合環境の UNIX マスターサーバーのクライアントでの検証項目
      6. Windows マスターサーバーが存在する複合環境での検証項目
        1.  
          複合環境の Windows マスターサーバーのマスターサーバーでの検証項目
        2.  
          複合環境の Windows マスターサーバーのメディアサーバーでの検証項目
        3.  
          複合環境の Windows マスターサーバーのクライアントでの検証項目
      7.  
        nbac_cron ユーティリティについて
      8.  
        nbac_cron ユーティリティの使用
    8.  
      アクセス管理ユーティリティの使用
    9. NetBackup へアクセス可能なユーザーの決定について
      1.  
        個々のユーザー
      2.  
        ユーザーグループ
      3.  
        NetBackup のデフォルトユーザーグループ
      4. ユーザーグループの構成
        1.  
          新しいユーザーグループの作成
        2.  
          既存のユーザーグループのコピーによる新しいユーザーグループの作成
        3.  
          ユーザーグループの名前の変更
        4.  
          ユーザーグループへの新しいユーザーの追加
      5. ユーザーグループおよびユーザーの定義について
        1.  
          新しいユーザーとしてのログオン
        2.  
          ユーザーグループへのユーザーの割り当て
        3.  
          認可オブジェクトおよび権限について
    10. NetBackup ユーザーグループの特定のユーザー権限の表示
      1.  
        権限の付与
      2.  
        認可オブジェクト
      3.  
        メディアの認可オブジェクトの権限
      4.  
        ポリシーの認可オブジェクトの権限
      5.  
        ドライブの認可オブジェクトの権限
      6.  
        レポートの認可オブジェクトの権限
      7.  
        NBU_Catalog の認可オブジェクトの権限
      8.  
        ロボットの認可オブジェクトの権限
      9.  
        ストレージユニットの認可オブジェクトの権限
      10.  
        ディスクプールの認可オブジェクトの権限
      11.  
        バックアップおよびリストアの認可オブジェクトの権限
      12.  
        ジョブの認可オブジェクトの権限
      13.  
        サービスの認可オブジェクトの権限
      14.  
        ホストプロパティの認可オブジェクトの権限
      15.  
        ライセンスの認可オブジェクトの権限
      16.  
        ボリュームグループの認可オブジェクトの権限
      17.  
        ボリュームプールの認可オブジェクトの権限
      18.  
        デバイスホストの認可オブジェクトの権限
      19.  
        セキュリティの認可オブジェクトの権限
      20.  
        ファットサーバーの認可オブジェクトの権限
      21.  
        ファットクライアントの認可オブジェクトの権限
      22.  
        Vault の認可オブジェクトの権限
      23.  
        サーバーグループの認可オブジェクトの権限
      24.  
        キー管理システム (kms) グループの認可オブジェクトの権限
    11.  
      NetBackup アクセス制御 (NBAC) のアップグレード
    12.  
      NetBackup の古いバージョンがリモートコンピュータにインストールされているルートブローカーを使っている場合の NetBackup のアップグレード
  7. NetBackup のセキュリティ管理
    1.  
      NetBackup のセキュリティ証明書の概要
    2.  
      NetBackup での安全な通信について
    3. セキュリティ管理ユーティリティについて
      1.  
        ログイン処理について
    4. 監査イベントについて
      1.  
        監査イベントの表示
      2.  
        ［監査イベント (Audit Events)］タブ
      3.  
        監査イベントの詳細の表示
      4.  
        監査イベントの［詳細 (Details)］ダイアログボックス
      5.  
        監査イベントの状態の表示
      6.  
        ［アクセス履歴 (Access History)］タブの監査に関連する問題のトラブルシューティング
    5. ホスト管理について
      1.  
        ［ホスト (Hosts)］タブ
      2.  
        ホスト ID からホスト名へのマッピングの追加
      3.  
        ［ホストマッピングを追加または削除 (Add or Remove Host Mappings)］ダイアログボックス
      4.  
        ホスト ID からホスト名へのマッピングの削除
      5.  
        ［承認待ちのマッピング (Mappings for Approval)］タブ
      6.  
        自動検出されたマッピングの表示
      7.  
        ［マッピングの詳細 (Mapping Details)］ダイアログボックス
      8.  
        ホスト ID からホスト名へのマッピングの承認
      9.  
        ホスト ID からホスト名へのマッピングの拒否
      10. 共有マッピングとクラスタマッピングの追加
        1.  
          共有マッピングまたはクラスタマッピングのシナリオについて
      11.  
        ［共有マッピングとクラスタマッピングの追加 (Add Shared or Cluster Mappings)］ダイアログボックス
      12.  
        NetBackup ホスト属性のリセット
      13. 証明書の自動再発行の許可または禁止
        1.  
          ホストに対する autoreissue パラメータの有効期間の構成
      14.  
        ホストのコメントの追加または削除
    6. グローバルセキュリティ設定について
      1.  
        安全な通信の設定について
      2.  
        安全でない通信の無効化
      3.  
        8.0 以前のホストとの安全でない通信について
      4.  
        複数の NetBackup ドメインの 8.0 以前のホストとの通信について
      5.  
        ホスト ID をホスト名と IP アドレスに自動的にマッピングする
      6.  
        ディザスタリカバリ設定について
      7.  
        ディザスタリカバリパッケージを暗号化するパスフレーズの設定
      8.  
        ディザスタリカバリパッケージ
    7. ホスト名ベースの証明書について
      1.  
        ホスト名ベースの証明書の配備
    8. ホスト ID ベースの証明書について
      1.  
        nbcertcmd コマンドオプションの Web ログインの要件
      2. 証明書管理ユーティリティを使ったホスト ID ベースの証明書の発行と配備
        1.  
          ホスト ID ベースの証明書の詳細の表示
      3. 証明書の配備のセキュリティレベルについて
        1.  
          証明書の配備のセキュリティレベルの設定
      4.  
        ホスト ID ベースの証明書の自動配備
      5.  
        ホスト ID ベースの証明書の配備
      6.  
        ホスト ID ベースの証明書の非同期的配備
      7.  
        証明書の有効期間に対するクロックスキューの意味
      8. マスターサーバー (CA) との信頼の設定
        1.  
          認証局の指紋の検索と伝達
      9.  
        証明書の配備の強制実行または上書き
      10.  
        マスター以外のホストで NetBackup を再インストールするときのホスト ID ベースの証明書の保持
      11.  
        マスターサーバーと接続されていないクライアントでの証明書の配備
      12.  
        ホスト ID ベースの証明書の有効期限と更新について
      13.  
        メディアサーバーおよびクライアントからの重要な証明書とキーの削除
      14.  
        仮想マシンのクローンを作成する前にホストからホスト ID ベースの証明書情報を消去する
      15. ホスト ID ベースの証明書の再発行について
        1.  
          再発行トークンの作成
        2.  
          ホストのキーペアの変更
    9. ホスト ID ベースの証明書のトークン管理について
      1.  
        認証トークンの作成
      2.  
        認証トークンの削除
      3.  
        認証トークンの詳細の表示
      4.  
        期限切れの認証トークンとクリーンアップについて
    10. ホスト ID ベースの証明書失効リストについて
      1.  
        マスターサーバーでの CRL の更新
      2.  
        NetBackup ホストの CRL の更新
    11. ホスト ID ベースの証明書の無効化について
      1.  
        ホストとマスターサーバー間の信頼の削除
      2.  
        ホスト ID ベースの証明書の無効化
      3.  
        NetBackup ホストの証明書の状態の確認
      4.  
        証明書を無効化した NetBackup ホストのリストの取得
    12.  
      ホスト ID ベースの証明書の削除
    13. クラスタ化された NetBackup セットアップでのセキュリティ証明書の配備
      1. クラスタ化された NetBackup ホストでのホスト ID ベースの証明書の配備について
        1.  
          アクティブなマスターサーバーノードでのホスト ID ベースの証明書の配備
        2.  
          非アクティブなマスターサーバーノードでのホスト ID ベースの証明書の配備
      2.  
        クラスタノードでのホスト ID ベースの証明書の配備
      3.  
        クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を無効化する
      4.  
        再発行トークンを使用して、クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を配備する
      5.  
        クラスタ化された NetBackup セットアップの再発行トークンの作成
      6.  
        クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を更新する
      7.  
        クラスタ化された NetBackup セットアップで証明書の詳細を表示する
      8.  
        クラスタ化された NetBackup セットアップからの CA 証明書の削除
      9.  
        ディザスタリカバリインストール後にクラスタマスターサーバーで証明書を生成する
    14.  
      非武装地帯にある NetBackup クライアントとマスターサーバーの間の HTTP トンネルを介した通信について
    15.  
      NetBackup ホストの手動での追加
  8. 格納データの暗号化セキュリティ
    1.  
      格納データの暗号化に関する用語
    2.  
      格納データの暗号化に関する注意事項
    3.  
      暗号化セキュリティについて考慮する際の質問
    4.  
      暗号化オプションの比較
    5. NetBackup クライアントの暗号化について
      1.  
        暗号化セキュリティのインストール前提条件
      2. 暗号化を使用したバックアップの実行について
        1.  
          バックアップの暗号化の選択について
        2.  
          標準暗号化を使用したバックアップ処理
        3.  
          レガシー暗号化を使用したバックアップ処理
      3.  
        NetBackup 標準暗号化を使用したリストア処理
      4.  
        NetBackup レガシー暗号化を使用したリストア処理
    6. クライアントでの標準暗号化の構成
      1.  
        標準暗号化の構成オプションの管理
      2.  
        NetBackup 暗号化鍵ファイルの管理
      3. サーバーからの標準暗号化の構成について
        1.  
          クライアントでの暗号化鍵ファイルの作成について
        2.  
          鍵ファイルの作成
        3.  
          鍵ファイルのリストアの推奨する実施例
        4.  
          鍵ファイルのパスフレーズを保護するための手作業による保存
        5.  
          鍵ファイルの自動バックアップ
      4.  
        暗号化されたバックアップファイルの、異なるクライアントへのリストア
      5.  
        クライアントでの標準暗号化の直接的な構成について
      6.  
        ポリシーでの標準暗号化属性の設定
      7.  
        NetBackup サーバーからのクライアントの暗号化設定の変更
    7. クライアントでのレガシー暗号化の構成
      1. クライアントからのレガシー暗号化の構成について
        1.  
          レガシー暗号化鍵ファイルの管理
      2. サーバーからのレガシー暗号化の構成について
        1.  
          クライアントへのレガシー暗号化構成のプッシュインストールについて
        2.  
          クライアントへのレガシー暗号化パスフレーズのプッシュインストールについて
      3.  
        別のクライアントで作成されたレガシー暗号化が使用されたバックアップのリストア
      4.  
        ポリシーでのレガシー暗号化属性の設定について
      5.  
        サーバーからのクライアントのレガシー暗号化設定の変更
      6. UNIX 版クライアントのレガシー鍵ファイルの追加によるセキュリティの向上
        1.  
          bpcd -keyfile コマンドの実行
        2.  
          UNIX クライアントでの bpcd の終了
    8.  
      メディアサーバーの暗号化
  9. 格納するデータのキーマネージメントサービス
    1.  
      FIPS (連邦情報処理標準)
    2.  
      FIPS 対応 KMS について
    3. キーマネージメントサービス (Key Management Service: KMS) の概要
      1.  
        KMS の注意事項
      2.  
        KMS の操作原理
      3.  
        暗号化テープへの書き込みの概要
      4.  
        暗号化テープの読み取りの概要
      5.  
        KMS の用語
    4. KMS のインストール
      1.  
        KMS の NBAC との使用
      2.  
        HA クラスタに使用する KMS のインストールについて
      3.  
        クラスタでの KMS サービスの有効化
      4.  
        KMS サービスの監視の有効化
      5.  
        KMS サービスの監視の無効化
      6.  
        監視対象リストからの KMS サービスの削除
    5. KMS の構成
      1.  
        キーデータベースの作成
      2. キーグループとキーレコードについて
        1.  
          キーグループの作成について
        2.  
          キーレコードの作成について
      3. キーレコードの状態の概要
        1.  
          キーレコードの状態に関する注意事項
        2.  
          キーレコードの prelive 状態
        3.  
          キーレコードの active 状態
        4.  
          キーレコードの inactive 状態
        5.  
          キーレコードの deprecated 状態
        6.  
          キーレコードの terminated 状態
      4.  
        KMS データベースファイルのバックアップについて
      5.  
        すべてのデータファイルのリストアによる KMS のリカバリについて
      6.  
        KMS データファイルのみのリストアによる KMS のリカバリ
      7.  
        データ暗号化キーの再生成による KMS のリカバリ
      8.  
        KMS データファイルのバックアップに関する問題
      9.  
        KMS データベースファイルのバックアップソリューション
      10.  
        キーレコードの作成
      11.  
        主要グループからのキーのリスト
      12. KMS と連携するための NetBackup の構成
        1.  
          NetBackup および KMS のキーレコード
        2.  
          テープ暗号化を使用するための Netbackup の設定例
    6. 暗号化への KMS の使用について
      1.  
        KMS 暗号化イメージのインポートについて
      2.  
        暗号化テープバックアップの実行例
      3.  
        暗号化バックアップの確認例
    7. KMS データベースの要素
      1.  
        空の KMS データベースの作成
      2.  
        KPK ID および HMK ID の重要性
      3.  
        HMK および KPK の定期的な更新について
      4.  
        KMS キーストアおよび管理者キーのバックアップ
    8. コマンドラインインターフェース (CLI) コマンド
      1.  
        CLI の使用方法のヘルプ
      2.  
        新しいキーグループの作成
      3.  
        新しいキーの作成
      4.  
        キーグループの属性の変更
      5.  
        キーの属性の変更
      6.  
        キーグループの詳細の取得
      7.  
        キーの詳細の取得
      8.  
        キーグループの削除
      9.  
        キーの削除
      10.  
        キーのリカバリ
      11. KMS データベースからのキーのエクスポートと KMS データベースへのキーのインポートについて
        1. キーのエクスポート
          1.  
            エクスポート時における一般的なエラーのトラブルシューティング
        2. キーのインポート
          1.  
            インポート時における一般的なエラーのトラブルシューティング
      12.  
        ホストマスターキー (HMK) の変更
      13.  
        ホストマスターキー (HMK) ID の取得
      14.  
        キーの保護キー (KPK) ID の取得
      15.  
        キーの保護キー (KPK) の変更
      16.  
        キーストアの統計の取得
      17.  
        KMS データベースの静止
      18.  
        KMS データベースの静止解除
      19.  
        キーの作成オプション
    9. KMS のトラブルシューティング
      1.  
        バックアップが暗号化されていない問題の解決方法
      2.  
        リストアが復号化されない問題の解決方法
      3.  
        トラブルシューティングの例 - active キーレコードが存在しない場合のバックアップ
      4.  
        トラブルシューティングの例 - 不適切なキーレコード状態でのリストア
  10. キーと証明書の再生成
    1.  
      キーと証明書の再生成について
    2.  
      NetBackup 認証ブローカーのキーと証明書の再生成
    3.  
      ホスト ID のキーと証明書の再生成
    4.  
      Web サービスのキーと証明書の再生成
    5.  
      nbcertservice のキーと証明書の再生成
    6.  
      tomcat のキーと証明書の再生成
    7.  
      JWT キーの再生成
    8.  
      NetBackup ゲートウェイ証明書の再生成
    9.  
      Web トラストストア証明書の再生成
    10.  
      VMware vCenter プラグイン証明書の再生成
    11.  
      OpsCenter 管理者コンソールのセッション証明書の再生成
    12.  
      OpsCenter のキーと証明書の再生成
    13.  
      NetBackup 暗号化キーファイルの再生成
  11. NetBackup Web サービスアカウント
    1.  
      NetBackup Web サービスアカウントについて
    2.  
      Web サービスユーザーアカウントの変更

KMS の注意事項

次の表に、KMS の機能および使用に関する注意事項を示します。

表: KMS の機能および使用に関する注意事項

注意事項

説明

新しい NBKMS サービス

nbkms サービスはメディアサーバーの BPTM プロセスに暗号化キーを提供する、マスターサーバーベースのサービスです。

新しい nbkmsutil KMS 構成ユーティリティ

セキュリティ上の理由のため、KMS 構成ユーティリティは、root または管理者としてマスターサーバーからのみ実行可能です。

NetBackup の大幅な変更

次の処理を可能にするために、NetBackup の変更が必要でした。

  • ボリュームプール名で ENCR_ 接頭辞を使用できるようにするため。

  • キーマネージメントサービスと通信するため。

  • 暗号化が埋め込まれた T10 / SCSI 規格のテープドライブをサポートするため。

  • NetBackup イメージ情報への暗号化キータグの追加を通知するように NetBackup GUI および CLI を変更

    bpimmedia および bpimagelist が変更されました。

  • この NetBackup リリースのリカバリ能力および使用しやすさを強化

    すべての暗号化キーをパスフレーズを使って生成することをお勧めします。 パスフレーズを入力すると、キーマネージメントシステムによって、そのパスフレーズから再作成可能な暗号化キーが作成されます。

KMS のインストールおよび配置の決定

次に KMS の配置について決定する必要のある事項を示します。

  • KMS のランダムに生成されたキーまたはパスフレーズで生成されたキーのどちらを選択するか

  • NBAC の配置を含めるかどうか

KMS のセキュリティ

既存の NetBackup サービスに追加されるセキュリティ上の問題はありません。

暗号形式

KMS では、次の暗号形式がサポートされています。

  • AES_128

  • AES_192

  • AES_256 (デフォルトの暗号)

KMS のリカバリ能力

KMS を使って、すべての暗号化キーをパスフレーズから生成できます。 これらのパスフレーズを記録して、NetBackup の KMS 全体を再作成するために後で使うことができます。

KMS ファイル

次のような KMS に関連する KMS ファイルがあり、キーに関する情報が維持されます。

  • キーファイルまたはキーデータベース

    データ暗号化キーが含まれます。キーファイルは、/opt/openv/kms/db/KMS_DATA.dat にあります。

  • ホストマスターキー

    AES 256 を使用して KMS_DATA.dat キーファイルを暗号化および保護する暗号化キーが含まれます。ホストマスターキーは、/opt/openv/kms/key/KMS_HMKF.dat にあります。

  • キーの保護キー

    AES 256 を使用して KMS_DATA.dat キーファイルの個々のレコードを暗号化および保護する暗号化キーです。キーの保護キーは、/opt/openv/kms/key/KMS_KPKF.dat にあります。現在は、すべてのレコードを暗号化するために同じキーの保護キーが使用されます。

    • KMS ファイルのバックアップ

      KMS ファイルをバックアップする場合には、推奨される方法に従ってください。KMS データベースファイルを置くテープは、HMK ファイルおよび KPK ファイルを置くテープと別にします。すると、暗号化のテープにアクセスするためには、両方のテープが必要となります。

      また、KMS のデータファイルのバックアップを、NetBackup の通常の処理とは別に行うという方法もあります。これらのファイルを、別々の CD、DVD、または USB ドライブにコピーできます。

      パスフレーズで生成された暗号化キーを使って手動で KMS を再構築することもできます。 暗号化キーはすべてパスフレーズで生成できます。 暗号化キーのパスフレーズのすべてを記録している場合には、書き留めた情報から KMS を手動で再作成することができます。 生成した暗号化キーが数個しかない場合は、この処理には時間はかかりません。

キーレコード

キーレコードには多数のフィールドが含まれますが、主要なレコードは、暗号化キー、暗号化キータグおよびレコードの状態です。また、キーレコードにはいくつかのメタデータも含まれます。

これらのキーレコードは次のように定義されます。

  • 暗号化キー

    このキーは、テープドライブに指定されます。

  • 暗号化キータグ

    このタグは、暗号化キーの識別子です。

  • レコードの状態

    各キーレコードには状態があります。状態は、prelive、active、inactive、deprecated および terminated です。

  • メタデータ

    メタデータには、論理名、作成日、変更日および説明が含まれます。

キーグループ

キーグループはキーレコードの論理名および論理グループです。作成されるすべてのキーレコードはグループに属する必要があります。キーグループには、常に active 状態のキーレコードを 1 つだけ含めることができます。NetBackup は 100 のキーグループをサポートします。キーグループごとに 10 個の暗号化キーのみが許可されます。

テープドライブおよびメディアの機能

ドライブ、テープおよび NetBackup の機能は、ドライブの暗号化が正常に行われるようにすべて適合している必要があります。多数のドライブが T10 規格に準拠しています。 対応しているテープ ドライブ (T10 規格に準拠) のうちよく知られているものには、LT0-4、LT0-5、LT0-6、IBM TS1120/30/40、Oracle T10000B/C などがあります。

読み取りおよび書き込みのために旧バージョンの LTO ドライブを実行することはできますが、データを暗号化することはできません。 たとえば、LTO2 メディアを使用している場合、LTO4 ドライブでデータを読み取ることはできますが、暗号化されていない形式でも暗号化されている形式でも書き込みはできません。

暗号化を設定する際は、これらのドライブおよびメディアの問題を常に把握しておくことが必要です。暗号化が可能なドライブが必要なだけでなく、メディアをグループ化して暗号化を実行できるようにする必要があります。後で復号化するために、テープは復号化が可能なドライブに配置する必要があります。

メディアとテープドライブの相互操作性の概要については、表: 暗号化のメディアサポートを参照してください。 詳しくは、ベンダー固有のユーザーガイドを参照することをお勧めします。

詳しくは、記事「HOWTO56305」を参照してください。

KMS と NBAC

KMS を NBAC とともに使用する場合については、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、NetBackup の NBAC のマニュアルを参照してください。

KMS と HA クラスタ

KMS を HA クラスタとともに使用する場合については、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、NetBackup の HA のマニュアルを参照してください。

KMS ログ

サービスは新しい統合ログ機能を使用し、OID 286 が割り当てられています。nbkmsutil コマンドは従来のログ機能と、ファイル /usr/openv/netbackup/logs/admin/*.log にあるログを使用します。

クラウドと KMS

KMS をクラウドプロバイダとともに使用することについては、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、『NetBackup クラウド管理者ガイド』を参照してください。

AdvancedDisk と KMS

KMS を AdvancedDisk ストレージとともに使用することについては、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、『NetBackup AdvancedDisk ストレージソリューションガイド』を参照してください。

NBAC と KMS の権限

通常 NBAC を使って Setupmaster コマンドを実行するとき、NetBackup 関連グループの権限 (たとえば、NBU_Admin と KMS_Admin) が作成されます。デフォルトの root と管理者ユーザーもそれらのグループに追加されます。場合によっては NetBackup がアップグレードされるときに、root と管理者レベルのユーザーが KMS グループに追加されないことがあります。解決するには、root と管理者レベルのユーザーに NBU_Admin と KMS_Admin の権限を手動で付与します。

表: 暗号化のメディアサポート

メディア (Media)

LTO4 テープドライブ

LTO5 テープドライブ

LTO6 テープドライブ

LTO-2 メディア

読み取り専用暗号化サポート無し

サポートされない

サポートされない

LTO-3 メディア

読み書き暗号化サポートなし

読み取り専用暗号化サポート無し

サポートされない

LTO-4 メディア

読み書き暗号化有効

読み書き暗号化有効

読み取り専用暗号化有効

LTO-5 メディア

サポートされない

読み書き暗号化有効

読み書き暗号化有効

LTO-6 メディア

サポートされない

サポートされない

読み書き暗号化有効