Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2017-11-16

Product(s): NetBackup & Alta Data Protection (8.1)

Data center multiple avec NetBackup Access Control sur les serveurs maîtres et de médias

Un exemple de data center multiple avec NBAC sur le serveur maître et le serveur de médias est défini comme un support pour un grand groupe d'hôtes (plus de 50). Ces hôtes peuvent couvrir deux ou plusieurs régions géographiques et être connectés à un réseau étendu (WAN). Dans l'exemple suivant, un data center se trouve à Londres et l'autre se trouve à Tokyo. Les deux data centers sont connectés par une connexion WAN dédiée.

Cet exemple de data center utilise NetBackup Access Control sur les serveurs maîtres et les serveurs de médias. Le data center limite l'accès à certaines parties de NetBackup et peut utiliser l'administration non racine de NetBackup. Dans cet environnement, NBAC est configuré pour être utilisé entre les serveurs et les interfaces graphiques utilisateur. Les utilisateurs autres que racine peuvent se connecter à NetBackup en utilisant le système d'exploitation (mot de passe UNIX ou domaine local Windows). Il est également possible d'utiliser des référentiels d'utilisateur (NIS/NIS+ ou Active Directory) pour gérer NetBackup. En outre, NBAC peut être utilisé pour limiter le niveau d'accès à NetBackup de certains utilisateurs. Par exemple, vous pouvez isoler le contrôle opérationnel quotidien de la configuration de l'environnement (ajout de nouvelles politiques, robots, par exemple).

Le data center multiple avec NBAC sur les serveurs maîtres et de médias inclut les éléments suivants :

NetBackup couvre deux régions géographiques ou plus par le biais d'un réseau étendu (WAN)
Gérer comme utilisateurs autres que racine.
Gérer UNIX avec un ID d'utilisateur Windows.
Gérer Windows avec un compte UNIX.
Isoler et limiter les actions d'utilisateurs spécifiques.
La racine ou l'administrateur ou les hôtes client peuvent encore faire des sauvegardes et des restaurations du client local
Peut être combiné avec d'autres options de sécurité
Tous les serveurs doivent correspondre à la version NetBackup 7.7. ou ultérieure.

Figure : Data center multiple avec NBAC sur les serveurs maître et les serveurs de médias affiche un exemple de data center multiples avec NBAC sur les serveurs maîtres et les serveurs de médias.

Figure : Data center multiple avec NBAC sur les serveurs maître et les serveurs de médias

Le tableau suivant décrit les composants de NetBackup qui sont utilisés pour un data center multiple avec NBAC sur les serveurs maîtres et de médias.

Tableau : Composants de NetBackup utilisés pour un data center multiple avec NBAC sur les serveurs maître et de médias

Composant	Description
Data center de Londres	Le data center de Londres contient le courtier racine, le courtier d'authentification 1, l'interface graphique utilisateur 1, le moteur d'autorisation, le serveur maître, le serveur de médias 1 et les clients 4 et 5. Le data center de Londres contient également la bande de données déchiffrée pour les clients 4 et 5. Le data center de Londres se connecte au data center de Tokyo par une connexion WAN dédiée.
Data center de Tokyo	Le data center de Tokyo contient le courtier d'authentification 2, l'interface graphique utilisateur 2, le serveur de médias 2 et les clients 10 et 11. Le data center de Tokyo contient également la bande de données déchiffrée pour les clients 10 et 11. Le data center de Tokyo se connecte au data center de Londres par une connexion WAN dédiée.
Réseau étendu (WAN)	Spécifie le lien WAN dédié qui connecte le data center de Londres au data center de Tokyo. Le WAN fournit la connectivité entre le courtier racine et le courtier d'authentification 1 et le courtier d'authentification 2. De plus, le WAN fournit la connectivité entre le courtier racine et le courtier d'authentification 1 et l'interface graphique utilisateur 2 avec le serveur de médias 2. Le WAN connecte également le moteur d'autorisation au serveur de médias 2. Enfin, le WAN connecte le serveur maître avec l'interface graphique utilisateur 2, le serveur de médias 2 et les clients 10 et 11.
Serveur maître	Le serveur maître, situé dans le data center de Londres, communique avec le courtier racine et le courtier d'authentification 1. Il communique également avec l'interface graphique utilisateur 1, le moteur d'autorisation et le serveur de médias 1. Le serveur maître communique avec les clients 4 et 5 à Londres. Le serveur maître communique également avec l'interface graphique utilisateur 2, le serveur de médias 2 et les clients 10 et 11 à Tokyo.
Serveurs de médias	Précise que dans cet exemple de data center multiple, il existe deux serveurs de médias. Le serveur de médias 1 est situé dans le data center de Londres et le serveur de médias 2 est situé dans le data center de Tokyo. A Londres, le serveur de médias 1 communique avec le serveur maître, le courtier racine et le courtier d'authentification 1, le moteur d'autorisation et les clients 4 et 5. Le serveur de médias 1 enregistre des données non chiffrées sur bande pour les clients 4 et 5. A Tokyo, le serveur de médias 2 communique avec le serveur maître et le moteur d'autorisation à Londres par le WAN. Le serveur de médias 2 communique également avec l'interface graphique utilisateur 2 et les clients 10 et 11 à Tokyo. Le serveur de médias n° 2 enregistre des données non chiffrées sur bande pour les clients n° 10 et n° 11.
Interfaces graphiques utilisateur	Précise que dans cet exemple de data center multiple, il existe deux interfaces graphiques utilisateur. L'interface graphique utilisateur 1 se trouve à Londres et l'interface graphique utilisateur 2 se trouve à Tokyo. Les interfaces graphiques utilisateur des consoles d'administration à distance reçoivent les informations d'authentification des courtiers. Les interfaces graphiques utilisateur utilisent ces informations d'authentification pour accéder aux fonctions des serveurs de médias et serveurs maîtres. A Londres, l'interface graphique utilisateur 1 reçoit des informations d'authentification du courtier d'authentification 1.L'interface graphique utilisateur 1 a accès aux fonctionnalités du serveur maître et des serveurs de médias 1 et 2. A Tokyo, l'interface graphique utilisateur 2 reçoit des informations d'authentification du courtier d'authentification 2. L'interface graphique utilisateur 2 a accès aux fonctionnalités du serveur maître et des serveurs de médias 1 et 2.
Courtier racine	Précise que dans une installation de data center multiple, un seul courtier racine est requis. Le courtier racine peut parfois être associé au courtier d'authentification. Dans l'exemple suivant, le courtier racine et le courtier d'authentification sont affichés comme même composant et se trouvent dans le data center de Londres. A Londres, le courtier racine authentifie le courtier d'authentification 1 également situé à Londres et le courtier d'authentification 2 à Tokyo. Le courtier racine n'authentifie pas les clients.
Courtiers d'authentification	Spécifie qu'il peut y avoir plus d'un courtier d'authentification dans une installation de data center multiple. Le courtier d'authentification peut parfois être associé au courtier racine. Dans l'installation de ce data center, deux courtiers d'authentification sont utilisés. Le courtier d'authentification authentifie le serveur maître, le serveur de médias et l'interface graphique utilisateur en établissant des informations d'authentification pour chacun d'entre eux. Le courtier d'authentification authentifie également un utilisateur avec une invite de commande. A Londres, le courtier d'authentification 1 authentifie des informations d'authentification avec le serveur maître, le serveur de médias 1 et l'interface graphique utilisateur 1. Les serveurs NetBackup et les clients à Tokyo et à Londres authentifient le courtier d'authentification 1 à Londres. L'interface graphique utilisateur 1 authentifie le courtier d'authentification 1 à Londres. L'interface graphique utilisateur 2 authentifie le courtier d'authentification 2 à Tokyo.
Moteur d'autorisation	Précise que dans une installation de data center multiple, un seul moteur d'autorisation est requis. Le moteur d'autorisation communique avec le serveur maître et le serveur de médias pour vérifier les autorisations d'un utilisateur authentifié. Ces autorisations déterminent les fonctionnalités disponibles pour l'utilisateur. Le moteur d'autorisation enregistre également les groupes d'utilisateurs et les autorisations. Le moteur d'autorisation réside à Londres et communique avec le serveur maître et le serveur de médias 1. Le moteur d'autorisation communique également via le réseau étendu WAN pour autoriser l'accès au serveur de médias 2 à Tokyo. Remarque : Le moteur d'autorisation se trouve sur le serveur maître en tant que processus de daemon. Il est affiché dans le schéma en tant qu'image distincte à titre d'exemple uniquement.
Bandes	Des bandes de données déchiffrées sont produites au data center de Londres et au data center de Tokyo. A Londres, la bande déchiffrée est écrite pour les clients 4 et 5 et stockées sur site dans le data center de Londres. A Tokyo, la bande chiffrée est écrite pour les clients 10 et 11 et est stockée hors site dans le data center de Tokyo.
Clients	Spécifie que les clients se trouvent dans les data centers de Londres et de Tokyo. A Londres, le client 4 est un type de NetBackup standard. Le client 5 est un type de serveur Web situé dans la zone démilitarisée. Tous les types de client peuvent être gérés par le serveur maître et faire sauvegarder leurs données sur bande par le client 5 du serveur de médias 1. Le client 5 communique avec NetBackup à l'aide des ports NetBackup uniquement via le pare-feu interne. Le client 5 reçoit également des connexions Internet en utilisant seulement des ports réservés au HTTP via le pare-feu externe. A Tokyo, le client 10 est un type de NetBackup standard. Le client 11 est un type de serveur Web situé dans la zone démilitarisée. Tous les types de client peuvent être gérés par le serveur maître et faire sauvegarder leurs données sur bande par le client 11 du serveur de médias 2. Le client 5 communique avec NetBackup à l'aide des ports NetBackup uniquement via le pare-feu interne. Le client 11 reçoit également des connexions Internet en utilisant des ports réservés au HTTP via le pare-feu externe
Pare-feux internes	Précise que dans cet exemple de data center multiple, il existe deux pare-feux internes. Un pare-feu interne se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu interne permet à NetBackup d'accéder au client 5 de serveur Web se trouvant dans la zone démilitarisée. A Londres, le pare-feu interne permet à NetBackup d'accéder au client 11 de serveur Web se trouvant dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données par le biais du pare-feu interne depuis et vers la zone démilitarisée. Des ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à passer par le pare-feu interne.
Zones démilitarisées (DMZ)	Précise que dans cet exemple de data center multiple, il existe deux zones démilitarisées. Une zone démilitarisée se trouve à Londres et l'autre à Tokyo. A Londres, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 5 de serveur Web entre le pare-feu interne et le pare-feu externe. Le serveur Web 5 et le client chiffré 6 côté client de la zone démilitarisée peuvent échanger des données via le pare-feu interne en utilisant les ports NetBackup affectés. Le client 5 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. A Tokyo, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 11 de serveur Web entre le pare-feu interne et le pare-feu externe. Le client 11 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne à l'aide des ports NetBackup affectés. Le client 11 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP.
Pare-feux externes	Précise que dans cet exemple de data center multiple, il existe deux pare-feux externes. Un pare-feu externe se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu externe permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTP. Les ports NetBackup sont ouverts pour que le client 5 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet. A Tokyo le pare-feu externe permet aux utilisateurs externes d'accéder au client 11 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTPS. Les ports NetBackup sont ouverts pour que le client 11 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 11 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet.
Internet	Spécifie qu'il existe un seul Internet mais deux connexions Internet dans cet exemple de data center multiple. Une connexion Internet se trouve à Londres et l'autre à Tokyo. Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. A Londres, le client 5 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe. A Tokyo, le client 11 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe.