Sign In

Search <book_title>...

Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

NetBackup アクセス制御 (NBAC) の使用について

NetBackup アクセス制御 (NBAC) は、マスターサーバー、メディアサーバー、クライアントに対して使われる、役割に基づくアクセス制御です。NBAC は、次のことが必要な場合に使うことができます。

1 つのアプリケーションに対して複数レベルの管理者権限を使う場合。たとえば、1 つのバックアップアプリケーションに対して、オペレータ (テープのロードとアンロード)、ローカルの管理者 (1 つの施設内でのアプリケーションの管理)、統括的な管理者 (複数のサイトを担当し、バックアップポリシーを決定) を割り当てることができます。この機能はユーザーエラーの防止にもきわめて有効です。経験の浅い管理者に対して特定の操作を制限することにより、不慮の操作ミスが防止されます。
システム管理にシステムの root 権限が必須とならないように管理者を分離する場合。システムの管理者とアプリケーションの管理者を分離することができます。

次の表は NBAC の注意事項をリストしたものです。

表: NBAC の注意事項

注意事項または問題	説明または解決
NBAC を構成する前の前提条件	ここでは、NBAC の構成を開始する前に準備しておくと役立つ前提条件を示します。これらの項目によりインストールが簡単になります。このインストールで使う情報は次のリストのとおりです。マスターサーバーのユーザー名またはパスワード (root 権限または管理者権限) マスターサーバーの名前マスターサーバーに接続されるすべてのメディアサーバーの名前バックアップされるすべてのクライアントの名前ホスト名または IP アドレスメモ: ホスト名は有効な IP アドレスに解決可能であることが必要です。 ping または traceroute コマンド (ホストに接続可能であることを確認するためのツールの 1 つとして使用)。これらのコマンドを使うことで、ファイアウォールやアクセスを遮断するための他の防御手段を構成していないことが確認できます。
マスターサーバー、メディアサーバー、クライアントのアップグレードが必要かどうかについての判断	マスターサーバー、メディアサーバー、クライアントのアップグレードが必要かどうかについては、次に基づいて判断します。マスターサーバー、メディアサーバー、クライアントのアップグレードによって提供される機能がそれぞれあります。 NetBackup は、上位リビジョンのマスターサーバーおよび下位リビジョンのクライアントとメディアサーバーと連携して動作します。機能の内容により配置される内容が決定されます。配置は必要に応じて段階的に実行できます。
役割に関する情報	構成において役割を次のように決定します。ホストの管理者 (マスターサーバーの root 権限は主席管理者と同等)。開始時の役割を決定した後、必要に応じて役割を追加します。
NBAC のライセンスの要件	アクセス制御を有効にする際にライセンスは必要ありません。
NBAC と KMS の権限	通常 NBAC を使って Setupmaster コマンドを実行するとき、NetBackup 関連グループの権限 (たとえば、NBU_Admin と KMS_Admin) が作成されます。デフォルトの root と管理者ユーザーもそれらのグループに追加されます。場合によっては NetBackup がアップグレードされるときに、root と管理者レベルのユーザーが KMS グループに追加されないことがあります。解決するには、root と管理者レベルのユーザーに NBU_Admin と KMS_Admin の権限を手動で付与します。
PBX からの共有セキュリティサービスを解除する間に表示される Windows Server Failover Clustering (WSFC) のエラーメッセージ	WSFC 環境で bpnbaz -UnhookSharedSecSvcsWithPBX <virtualhostname>コマンドを実行することにより、エラーメッセージをトリガできます。ただし共有の認証と認可サービスは、PBX から正常に解除され、エラーは無視できます。
表示される可能性のあるクラスタノードエラー	クラスタ環境でbpnbaz -setupmaster コマンドをローカル管理者として実行するとき、AUTHENTICATION_DOMAINエントリには他のクラスタノードエントリが含まれない場合があります。そのような場合、これらのエントリはホストプロパティから `bp.conf` ファイルに手動で追加される必要があります。
カタログリカバリは、NBAC が REQUIRED モードに設定されているとき失敗します	NBAC がREQUIRED モードで実行され、カタログリカバリが実行された場合には、NBAC はPROHIBTED モードから REQUIRED モードにリセットされる必要があります。
ポリシーの検証は NBAC モードでは失敗します (つまり USE_VXSS = REQUIRED の場合)	次のいずれかが実行された場合、NBAC 有効化モードでのスナップショットポリシーのバックアップ、リストア、検証は失敗する場合があります。認証済みの原理は NBAC グループから削除されます。 NBU_Users グループ NBU_User グループのバックアップとリストアの権限は削除されました
bpnbaz -setupmaster コマンドはエラー「認可サーバーに接続できません。」で失敗します	管理者以外のユーザーが NetBackup のセキュリティを変更しようとした場合には bpnbaz - setupmaster が失敗します。管理者グループの一員である「管理者」ユーザーのみに NetBackup のセキュリティを修正したり NBAC を有効にする権限があります。
インストール中の認証ブローカー構成の失敗	システムの無効なドメイン名構成により認証ブローカーの構成中に失敗します。この問題を修正するには、bpnbaz -configureauth コマンドを使って認証ブローカーを構成します。 bpnbaz コマンドについて詳しくは、『NetBackup コマンドリファレンスガイド』を参照してください。
以前に拡張監査が有効になっていたシステムで NBAC が有効になっていると、NetBackup の GUI エラーが発生する可能性があります。	NetBackup サーバーを拡張監査から NBAC に切り替えるときは、次のディレクトリでユーザーの名前が付いたすべてのディレクトリが削除されていることを確認してください。 Windows の場合: `install_path\NetBackup\logs\user_ops` UNIX、Linux の場合: `/usr/openv/netbackup/logs/user_ops` 詳しくは、次のトピックを参照してください。 NBAC の問題のトラブルシューティングを参照してください。