Veritas NetBackup™ セキュリティおよび暗号化ガイド

KMS をインストールする方法

1. nbkms -createemptydb コマンドを実行します。
2. ホストマスターキー（HMK）のパスフレーズを入力します。 また、Enter キーを押して、ランダムに生成されるキーを作成することもできます。
3. HMK の ID を入力します。この ID には、HMK を特定するのに使用する、わかりやすい任意の ID を指定できます。
4. キーの保護キー（KPK）のパスフレーズを入力します。
5. KPK の ID を入力します。この ID には、KPK を特定するのに使用する、わかりやすい任意の ID を指定できます。

   ID を入力して Enter キーを押すと、KMS サービスが起動します。

6. 次のコマンドを実行してサービスを起動します。

   nbkms

7. 次のように grep コマンドを使用してサービスが起動していることを確認します。

   ps -ef | grep nbkms

8. キーグループを作成します。キーグループ名はボリュームプール名に一意に一致する必要があります。すべてのキーグループ名には接頭辞 ENCR_ が付いている必要があります。

   メモ:

   クラウドストレージでキーマネージメントを使用する場合、キーグループ名に ENCR_ 接頭辞は必要ありません。

   (クラウド以外のストレージ) キーグループを作成するには、次のコマンド構文を使用します。

   nbkmsutil -createkg -kgname ENCR_volumepoolname

   ENCR_ 接頭辞は重要です。BPTM は ENCR_ 接頭辞を含むボリュームプール要求を受け取る場合に、そのボリュームプール名を KMS に渡します。KMS はそれがボリュームプールと完全に一致するかを判別し、そのグループからバックアップ用に active キーレコードを取得します。

   クラウドストレージキーグループを作成するには、次のコマンド構文を使用します。

   nbkmsutil -createkg -kgname cloud_provider_URL:volume_name

9. -createkey オプションを使用してキーレコードを作成します。

   nbkmsutil -createkey -kgname ENCR_volumepool -keyname keyname -activate -desc "message"

   キー名およびキーメッセージは任意です。これらは、キーを表示するときにこのキーを特定するのに役立ちます。

   -activate オプションは、prelive 状態をスキップしてこのキーを active として作成します。

10. スクリプトでパスフレーズを求められたら、パスフレーズを再入力します。

    次の例では、キーグループは ENCR_pool1 と呼ばれ、キー名は Q1_2008_key です。説明部分はこのキーが 1 月、2 月、3 月用のキーであることを示します。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q1_2008_key -activate -desc "key for 
    Jan, Feb, & Mar"

11. 同じコマンドを使用して別のキーレコードを作成できます。別のキー名および説明にすると、キーレコードの区別に役立ちます。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q2_2008_key -activate -desc "key for 
    Apr, May, & Jun"

    メモ:

    コマンド nbkmsutil -kgname name -activate を使用して複数のキーレコードを作成すると、最後のキーのみが active に保たれます。

12. あるキーグループ名に属するすべてのキーを表示するには、次のコマンドを使用します。

    nbkmsutil -listkeys -kgname keyname

    メモ:

    nbkmsutil -listkeys コマンドの出力の記録を保管しておくことをお勧めします。キーをリカバリする必要がある場合、出力に表示されるキータグが必要です。

    次のコマンドと出力では、この手順の例が使用されています。